Exploit Chain N-central Menyerang Lima Jam Setelah PoC Terbit - dan Bekerja di Server yang Sudah Di-patch Dua Hari Sebelumnya

Platform N-central milik N-able sedang diserang aktif lewat chain bernama 4EverAble2Shell yang dipublikasikan di GitHub pada 12 November. Chain ini mengeksploitasi CVE-2026-90436 - celah CVSS 9,8 pada library Apache Axis 1.x yang sudah lama usang dan diam-diam terbundel di N-central - untuk mendapat remote code execution, lalu eskalasi ke root melalui helper script. Yang kritis: chain ini bekerja pada server yang menjalankan Hotfix 2 (2026.4.1.26) yang dirilis N-able 10 November, dan cukup mengandalkan satu konfigurasi non-default: Legacy API aktif dan terekspos internet. Perusahaan keamanan Huntback mengonfirmasi 21 rig mining berjalan di server produksi, sekitar lima jam setelah proof of concept dipublikasikan.

Insiden ini memadatkan tiga pelajaran dalam satu pekan. Jarak dari PoC publik ke eksploitasi di alam liar kini dihitung jam, bukan hari. Patch terbaru bukan jaminan aman - hotfix Selasa menjadi peta target pada Jumat. Dan komponen legacy yang terbundel diam-diam di software modern, seperti library Java SOAP EOL, jarang muncul dalam software bill of materials. Per 13 November belum ada patch penuh; mitigasi utamanya mematikan Legacy API dan berburu artefak seperti /tmp/.xvd dan xvd.service.