N-able Hotfix 4 behebt kritische RCE-Schwachstelle in N-central

N-able hat seinen vierten Hotfix innerhalb von fünf Wochen für die N-central-Plattform für Fernüberwachung und -verwaltung (RMM) veröffentlicht, um eine Schwachstelle zur Remote-Code-Ausführung (RCE) in N-central zu beheben, die als CVE-2026-86218 verfolgt wird. Remote-Code-Ausführung bedeutet, dass ein Angreifer eigene Befehle auf dem Server ausführen kann, und diese Schwachstelle ist Pre-Authentication, sodass kein gültiger Login oder Konto erforderlich ist. N-able, das die CVE-Nummerierungsbehörde für diesen Eintrag ist, hat ihr einen Common Vulnerability Scoring System (CVSS) 4.0-Score von 10.0 zugewiesen, die höchstmögliche Schwere, und sie als statische Code-Injection (CWE-96) eingestuft. Die Schwachstelle betrifft alle On-Premises (selbst gehosteten) N-central-Builds vor 2026.3.1.14, der Version, die als 2026.3 Hotfix 4 in den frühen Stunden des 6. September UTC ausgeliefert wurde. Das schließt Server ein, die bereits auf Hotfix 3 (2026.3.1.13) aktualisiert wurden, den N-able etwas mehr als acht Stunden zuvor für zwei nicht zusammenhängende Schwachstellen veröffentlicht hatte. N-able gab an, dass gehostete N-central-Instanzen (bekannt als NCOD) bereits gepatcht wurden, aber On-Premises-Kunden werden angewiesen, sofort auf 2026.3.1.14 zu aktualisieren. Die Versionshinweise listen direkte Upgrade-Pfade von 2025.4, 2026.1, 2026.2, 2026.3 und den 2026.3.1-Hotfixes auf und besagen, dass Agenten nicht aktualisiert werden müssen, um vor dieser CVE geschützt zu sein.

N-ables eigene Kommunikation ist sich uneinig, ob die Schwachstelle bereits ausgenutzt wurde. Die Versionshinweise zu Hotfix 4 und ein Statusbeitrag besagen, dass ein Dritter die Schwachstelle verantwortungsvoll über das Security-Disclosure-Programm des Unternehmens gemeldet hat und dass N-able 'keine Bestätigungen hat, dass diese Schwachstelle in Produktionsumgebungen ausgenutzt wurde'. Dieselben Versionshinweise auf der Dokumentationsseite beschreiben sie auch als 'kritische Zero-Day-Schwachstelle', ein Begriff, den das Unternehmen nicht definiert. Eine Zero-Day-Schwachstelle ist eine Schwachstelle, die bekannt oder ausgenutzt wird, bevor ein Herstellerpatch verfügbar ist. Die Vorfallmeldung auf der Uptime-Statusseite von N-able besagt jedoch, dass ein dritter, unabhängiger Sicherheitsforscher das Unternehmen auf eine neue Schwachstelle aufmerksam gemacht habe, die nichts mit den zuvor offengelegten CVEs zu tun habe, und dass die neu identifizierte Schwachstelle im Gegensatz zu diesen 'in freier Wildbahn ausgenutzt wurde'. Die Meldung sagt nicht, wer die Ausnutzung beobachtet hat, wo oder wann, und N-able hat die Aktivität keinem Akteur zugeordnet. Bis zum 7. September blieb der Vorfall auf der Statusseite von N-able offen, wie vom Statusseiten-Aggregator IsDown gespiegelt. The Hacker News hat sich an N-able gewandt, um zu klären, welche Aussage aktuell ist und welche Beweise für eine Ausnutzung das Unternehmen besitzt.

Die Versionshinweise, der Statusbeitrag und die Vorfallmeldung enthalten keine Indicators of Compromise (IoCs), also digitale Hinweise, dass ein System kompromittiert sein könnte, keine Interim-Mitigation und keine Erkennungsanleitung über die Empfehlung hinaus, N-central-Benutzerkonten auf unerwartete Benutzer zu überprüfen. Huntress, das Angriffe auf N-central seit August verfolgt, hat Administratoren geraten, eingehenden Zugriff auf die Konsole per IP-Allowlisting oder VPN einzuschränken und, wo ein Server weiterhin aus dem Internet erreichbar ist, in Betracht zu ziehen, ihn offline zu nehmen, bis der Hotfix angewendet wird. Huntress sagte, es könne die Ausnutzungsfrage aus eigenen Daten nicht klären. Das Unternehmen begann am 4. September mit Ermittlungen, nachdem eine vollständig gepatchte N-central-Produktionsumgebung eines Kunden kompromittiert worden war. Es reproduzierte eine Proof-of-Concept (PoC)-Exploit-Kette, eine Demonstration, dass der Angriffspfad funktioniert, gegen Build 2026.3.1.10, die eine oder beide der beiden später in Hotfix 3 behobenen Schwachstellen nutzen könnte, aber die Protokolle des Appliances waren bereits rotiert, sodass es nicht sagen konnte, ob diese neue CVE die bei diesem Einbruch ausgenutzte Schwachstelle war. Auf Fragen von The Hacker News antwortete Ben Bernstein, Cybersicherheitsberater bei Huntress, dass die Beschreibung 'aktiv ausgenutzt' in seinem Beitrag vollständig auf N-ables Aussagen basiert, nämlich der Vorfallmeldung und einem Beitrag auf dem MSPGeek-Discord, in dem N-ables Jason Murphy diese Meldung am 6. September um 12:25 Uhr Eastern übermittelte. Huntress hat CVE-2026-86218 nicht reproduziert, so Bernstein, und hat seit seinem Update vom 6. September keine neuen Ausnutzungskompromittierungen in seiner Telemetrie beobachtet, die definitiv dieser CVE zuzuordnen sind. Da es sich um eine Pre-Authentication-Remote-Code-Ausführung handelt, so Bernstein, ist eine aus dem Internet erreichbare Konsole der primäre Angriffsvektor, weshalb Huntress empfiehlt, den eingehenden Netzwerkzugriff auf die Konsole einzuschränken.

Dieser Hotfix ist der vierte, den N-able für die 2026.3-Linie seit dem 2. August herausgegeben hat, und deckt den dritten separaten Satz von Schwachstellen ab. Hotfix 1 (2026.3.1.7), veröffentlicht am 2. August, behob CVE-2026-18577, eine unvollständige Korrektur für CVE-2026-18556, die weiterhin Authentifizierungsumgehung und Kontopufferung ermöglichte und in freier Wildbahn ausgenutzt wurde. Hotfix 2 (2026.3.1.10), veröffentlicht am 6. August, fügte zusätzliche Härtung für einen verwandten Angriffspfad hinzu. Hotfix 3 (2026.3.1.13), veröffentlicht am 5. September, behob CVE-2026-86206, unbefugten Zugriff auf interne APIs durch den Zugriffskontrollfilter, und CVE-2026-86207, eine Authentifizierungsumgehung in internen APIs. N-able beschrieb diese beiden Schwachstellen als Schwachstellen mit hohem CVSS-Wert, die es einer unbefugten Partei ermöglichen könnten, Authentifizierungskontrollen zu umgehen und vollen Zugriff auf die Plattform zu erhalten. Die eigenen CVE-Einträge bewerten CVE-2026-86207 mit 7.7 (Hoch) und CVE-2026-86206 mit 6.9 (Mittel). Das Unternehmen sagte, es habe keine Bestätigung, dass eine von beiden in Produktionsumgebungen ausgenutzt wurde.

Die August-Hotfixes folgten auf einen Einbruch, den N-able am 31. Juli erkannt hatte. Angreifer nutzten eine Authentifizierungsumgehung, um administrativen Zugriff auf N-central-Server zu erhalten, und nutzten dann die Take-Control-Funktion der Plattform, um verwaltete Endpunkte zu erreichen und Cloudflare-Tunnel-Dienste auf diesen Geräten zu registrieren. Ein Cloudflare-Tunnel erstellt eine verschlüsselte Verbindung von einem Gerät zum Internet, und die Angreifer nutzten ihn, um den Zugriff aufrechtzuerhalten, nachdem die Route durch N-central unterbrochen worden war. N-able sagte, eine begrenzte Anzahl von Kunden sei betroffen gewesen, sein erster Fix habe sich als unvollständig erwiesen, und die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) habe beide CVEs zu ihrem Katalog bekannter ausgenutzter Schwachstellen hinzugefügt. Am 10. August sagte das Unternehmen, eine vollständige Root-Cause-Analyse stehe bevor. Dies ist der zweite Sommer in Folge, in dem N-central Angriffe in freier Wildbahn angezogen hat: Im August 2025 wurden zwei weitere Schwachstellen im Produkt, CVE-2025-8875 und CVE-2025-8876, am selben Tag, an dem N-able Fixes dafür veröffentlichte, in den CISA-Katalog aufgenommen.

Für On-Premises-N-central-Kunden ist die sofortige Maßnahme klar: Aktualisieren Sie so schnell wie möglich auf 2026.3.1.14. Da keine Indicators of Compromise veröffentlicht wurden, sollten Administratoren auch N-central-Benutzerkonten auf unerwartete Benutzer überprüfen, wie N-able empfiehlt. Die Einschränkung des Zugriffs auf die Konsole mit einer Allowlist oder einem VPN reduziert die Angriffsfläche, und das Offline-Nehmen eines aus dem Internet erreichbaren Servers bis zum Abschluss des Patchens ist eine umsichtige Option. N-central-Kunden, die unabhängige Hilfe bei der Überprüfung ihrer Exposition und ihres Patch-Prozesses wünschen, können sich an AEU-I wenden, das sicherheitsorientierte IT- und Infrastrukturberatung anbietet. Der wichtigste Schutz besteht darin, jede internetfähige Verwaltungsschnittstelle als Hochrisikoziel zu behandeln und Herstellerpatches ohne Verzögerung anzuwenden.