N-able N-central: Exploits für über 30 gemeldete Lücken öffentlich, Server sollen vom Netz
N-able hat am 9. November 2026 die gehostete N-central-Umgebung abgeschaltet und rät On-Premises-Kunden, ihre Server ebenfalls vom Netz zu nehmen. Ein Forscher hatte zuvor in der Sammlung Able2Shell Exploits für über 30 gemeldete Lücken veröffentlicht, darunter eine Codeausführung ohne Anmeldung. Angriffe hat der Hersteller bisher nicht beobachtet, ein Hotfix fehlt noch.
N-able hat am 9. November 2026 seine gehostete N-central-Umgebung weltweit vom Netz genommen und rät Kunden mit eigenen N-central-Servern, diese ebenfalls abzuschalten. Auslöser ist die Veröffentlichung von mehr als 30 mutmaßlichen Sicherheitslücken samt Proof-of-Concept-Exploits durch einen unabhängigen Forscher. Einen Hotfix gibt es noch nicht, N-able arbeitet nach eigenen Angaben an Entwicklung und Prüfung.
Betroffen sind Managed Service Provider und IT-Abteilungen, die N-central als RMM-Plattform betreiben, gehostet oder On-Premises. Wer On-Premises betreibt, sollte heute handeln und nicht auf das nächste Wartungsfenster warten: Die Exploits liegen öffentlich auf GitHub, und über einen übernommenen RMM-Server lassen sich die verwalteten Geräte erreichen.
Was ist passiert?
Der Forscher Sean Bales hat nach Angaben von BleepingComputer am späten Abend des 8. November (US-Zeit) auf GitHub eine Exploit-Sammlung namens Able2Shell veröffentlicht. Die Übersicht dort listet 33 Einträge, darunter Authentifizierungsumgehungen, XXE-Injektionen, Pfadmanipulationen, Stored XSS und mehrere Wege zur Codeausführung. Getestet hat Bales nach eigener Darstellung gegen die Vorabversion N-central Appliance 2026.4.0.31. Er geht davon aus, dass die meisten Lücken auch ältere und die aktuell freigegebene Version betreffen. Bestätigt ist das nicht.
Die gefährlichste Kette beginnt ohne Anmeldung: Über eine XXE-Lücke im Service-Import übernimmt ein Angreifer eine vertrauenswürdige lokale Sitzung, setzt ein Kontopasswort zurück und führt Befehle als Systembenutzer nable aus. Laut Repository kann dieselbe Kette ein aktiviertes Administratorkonto mit selbst gewählten Zugangsdaten anlegen. Weitere Ketten reichen bis zu Root-Rechten: über manipulierte Patch-Metadaten, die als Stored XSS ausgeführt werden, sobald ein Administrator sie ansieht, oder mit Anmeldung über eine Pfadmanipulation und ein Hilfsskript, das als root läuft.
N-able spricht auf seiner Statusseite von einer öffentlichen und „nicht verantwortungsvollen Mitteilung“ der Lücken. Bales sagte BleepingComputer, frühere Meldungen zu einem anderen N-able-Produkt seien seit fünf bis sechs Monaten ungepatcht, deshalb habe er ohne Vorwarnung veröffentlicht. Auf Fragen von BleepingComputer zu diesen Vorwürfen ging N-able nicht ein. Laut Bales wurden die Lücken mit KI-Unterstützung gefunden.
Wer ist betroffen?
Betroffen sind gehostete N-central-Instanzen in Amerika, Europa und Asien-Pazifik sowie selbst betriebene N-central-Server. Weiter erreichbar bleiben laut N-able für Partner, die N-able Login nutzen, die Ecoverse-Dienste unter n-able.app, darunter Asset View, Patching, Vulnerability Management, Scripting, Policies und Tagging. Zusätzlich hat N-able dort einige Funktionen freigeschaltet, darunter TakeControl aus der Asset-Ansicht und eine Vorschau für Windows-Patching auf Abruf. CVE-Nummern sind bisher nicht genannt.
Wie kritisch ist das?
Für Betreiber sehr kritisch. Die Hauptkette ist eine Remote-Codeausführung ohne Anmeldung mit den Rechten des Systembenutzers nable, und ein RMM-Server verteilt Skripte und Software an die angebundenen Kunden. Aktive Ausnutzung hat N-able nach Stand der Statusseite vom 10. November, 01:07 Uhr UTC, nicht beobachtet, auch keine Hinweise auf Kompromittierung oder unbefugten Datenzugriff. Öffentliche Exploits sind kein Beleg für Angriffe, senken aber die Hürde erheblich. BleepingComputer hat nicht alle Lücken selbst nachvollzogen.
Was sollten Admins jetzt tun?
- Inventar: alle eigenen N-central-Server und deren Version erfassen, auch Test- und Altinstanzen.
- On-Premises-Server nach Empfehlung des Herstellers vom Netz nehmen und erst nach Freigabe durch N-able wieder in Betrieb nehmen.
- Wo ein Abschalten sofort nicht möglich ist, als Notlösung mindestens den Zugriff aus dem Internet sperren und auf bekannte Admin-Netze begrenzen. Die Empfehlung des Herstellers ersetzt das nicht.
- Benutzerliste der Verwaltungsoberfläche auf unbekannte Administrator- oder Technikerkonten prüfen.
- Webserver- und Audit-Protokolle auf ungewöhnliche Anfragen an Service-Import und Patch-Funktionen sowie auf neue JSP-Dateien prüfen. Unauffällige Protokolle sind kein sicherer Beleg, die veröffentlichten Exploits können Spuren beseitigen.
- Kritische Aufgaben vorübergehend über n-able.app abwickeln (setzt N-able Login voraus) und die Statusseite verfolgen, N-able kündigt Updates alle vier Stunden an.
- Den Hotfix sofort nach Erscheinen einspielen, danach alle in N-central gespeicherten Zugangsdaten rotieren.
Einordnung für Unternehmen
N-central stand schon im August im Fokus, als Angreifer eine Lücke nach einem unvollständigen Patch ausnutzten. Diesmal fehlt der Hinweis auf Angriffe, dafür liegt eine ganze Sammlung veröffentlichter Exploits offen, die laut Forscher funktionieren. Unternehmen, deren Dienstleister N-central nutzt, sollten dort nachfragen, ob die Server abgeschaltet sind und wie Fernwartung bis zum Hotfix läuft. Ob die Angaben des Forschers zu älteren Versionen zutreffen, ist offen. Klarheit dürften erst die Angaben des Herstellers zum Hotfix bringen.
Passende Anleitungen auf S-EDV
- N-able N-central Schwachstelle CVE-2026-18577: Angreifer übernehmen Server nach unvollständigem Patch
- BeyondTrust Remote Support: Zero-Day CVE-2026-102764 seit August ausgenutzt
