N-able warnt vor aktiv ausgenutzter Authentifizierungsumgehung in N-central

Die als CVE-2026-18577 geführte Authentifizierungsumgehung in N-central betrifft sowohl gehostete als auch lokal betriebene Server mit Versionen vor 2026.3. Nach Angaben von N-able wird die Schwachstelle bereits aktiv von Angreifern ausgenutzt.

Das Unternehmen veröffentlichte am Sonntag das Hotfix 2026.3.1.7 und forderte seine Kunden dringend auf, das Update unverzüglich zu installieren.

N-able bestätigt aktive Ausnutzung

N-able machte die laufenden Angriffe erstmals am 1. August öffentlich. Das Unternehmen erklärte außerdem, dass die Untersuchungen weitere Sicherheitsprobleme in N-central, der wichtigsten RMM-Plattform des Unternehmens, aufgedeckt hätten.

N-central unterstützt Managed Service Provider und interne IT-Teams bei der Verwaltung großer Gruppen von Systemen und Netzwerkgeräten. Die Plattform unterstützt Umgebungen mit unterschiedlichen Betriebssystemen.

Ein kompromittierter N-central-Server kann daher Risiken verursachen, die über die direkten Kunden von N-able hinausgehen. Angreifer könnten den Zugriff nutzen, um verwaltete Geräte und angebundene Organisationen zu erreichen.

Gehostete N-central-Umgebungen wurden bereits mit dem Sicherheitsupdate versorgt. Kunden, die N-central in ihrer eigenen Infrastruktur betreiben, müssen das Hotfix jedoch manuell installieren.

CVE-2026-18577 folgt auf unvollständigen Patch

CVE-2026-18577 entstand durch eine unvollständige Behebung von CVE-2026-18576. Die frühere Schwachstelle betraf alle N-central-Versionen bis einschließlich 2026.1.

Beide Schwachstellen können es Angreifern ermöglichen, die Authentifizierung über einen alternativen Pfad oder Kanal zu umgehen. Eine erfolgreiche Ausnutzung kann zur Übernahme von Administratorkonten führen.

N-able hat bislang keine technischen Details zu der neuen Schwachstelle veröffentlicht. Das Unternehmen hat außerdem nicht bekannt gegeben, wie viele Kunden Ziel der Angriffe wurden oder tatsächlich kompromittiert wurden.

Das Produkt war bereits in der Vergangenheit von schwerwiegenden Sicherheitsproblemen betroffen. Zero-Day-Angriffe auf N-central im vergangenen Jahr veranlassten die Cybersecurity and Infrastructure Security Agency zur Veröffentlichung einer dringenden Warnung.

Auch andere große RMM-Plattformen und Lösungen für Managed Service Provider standen bereits im Visier von Angreifern. Frühere Vorfälle betrafen unter anderem Kaseya VSA, ConnectWise ScreenConnect, SimpleHelp und SolarWinds Orion.

Kunden sollten nach Kompromittierungsindikatoren suchen

N-able hat auf der Downloadseite des Hotfixes sogenannte Indicators of Compromise veröffentlicht. Dazu gehören vier IP-Adressen, ein registrierter Dienst mit dem Namen Cloudflared sowie eine Datei namens svchost.exe im Dokumente-Ordner eines Benutzers.

Kunden, die eines dieser Anzeichen feststellen, sollten sich umgehend an den N-able-Support wenden. Außerdem sollten sie ihre internen Sicherheitsteams einschalten.

Cloudflared ist ein legitimes Tunnel-Tool von Cloudflare. Angreifer missbrauchen es jedoch häufig, um aus kompromittierten Systemen ausgehende Tunnel aufzubauen. Diese Tunnel können einen Fernzugriff ermöglichen, ohne eingehende Firewall-Ports öffnen zu müssen.

N-able erklärt, dass Agenten nicht sofort aktualisiert werden müssen, um die Authentifizierungsumgehung in N-central zu beheben. Das Unternehmen empfiehlt dennoch, die Agenten auf den neuesten Stand zu bringen, um aktuelle Fehlerbehebungen und neue Funktionen zu erhalten.

Kunden sollten das Server-Hotfix so schnell wie möglich installieren, ihre Umgebungen sorgfältig überwachen und die veröffentlichten Kompromittierungsindikatoren auf verdächtige Aktivitäten überprüfen.