N-able N-central Schwachstelle CVE-2026-18577: Angreifer übernehmen Server nach unvollständigem Patch

Was ist passiert?

N-able hat am 1. August 2026 einen kritischen Sicherheitsvorfall für sein Remote-Monitoring- und Management-Tool N-central offengelegt. Ein erster Patch (CVE-2026-18556) gegen eine Authentication-Bypass-Schwachstelle war unvollständig. Angreifer konnten die verbliebene Lücke (CVE-2026-18577) ausnutzen, um Admin-Zugriff auf N-central-Server zu erlangen und verwaltete Endpunkte zu kompromittieren.

N-able hat am 2. August 2026 einen Hotfix (Version 2026.3.1.7) veröffentlicht und alle Kunden zur sofortigen Aktualisierung aufgefordert. Das Security-Advisory von N-able und ein detaillierter Untersuchungsbericht von Huntress bestätigen die aktive Ausnutzung.

Was ist neu?

Die Kernproblematik: Der ursprüngliche Patch für CVE-2026-18556 war nicht vollständig. Die verbleibende Schwachstelle (CVE-2026-18577) ermöglicht es externen Angreifern, sich administrative Rechte auf dem N-central-Server zu verschaffen. Von dort aus können sie die eingebaute Tool-Funktionalität missbrauchen, um auf verwaltete Systeme zuzugreifen.

Huntress berichtet, dass Angreifer die N-central-Tool-Schnittstelle nutzen, um auf verwaltete Clients zuzugreifen. Zusätzlich installieren sie Persistenz-Mechanismen über Cloudflare-basierte Infrastruktur. Die Identifizierten Angreifer-IPs (87.249.138.34 und 37.19.210.32) sind NordVPN- bzw. Mullvad-Exit-Nodes, was die Zuordnung erschwert.

Wer ist betroffen?

1. Produkt: N-able N-central (Remote Monitoring and Management)
2. Betroffene Versionen: Alle Versionen vor 2026.3.1.7
3. Betroffene Nutzer: MSPs (Managed Service Provider) und IT-Dienstleister, die N-central zur Verwaltung ihrer Kunden-Infrastruktur einsetzen
4. Kritikalität: Höchste Stufe. Auth Bypass führt zu Account Takeover auf Verwaltungsebene mit Zugriff auf alle verwalteten Clients

Wie kritisch ist das?

Für MSPs, die N-central einsetzen, ist dies ein kritischer Vorfall. Das Tool verwaltet Remote-Zugriff, Patch-Management und Monitoring für die gesamte Kundenbasis. Ein kompromittierter N-central-Server bedeutet potenziell Zugriff auf Tausende verwalteter Endpunkte.

Huntress meldet, dass zum Zeitpunkt ihrer Untersuchung über 55 Prozent der erreichbaren Cloud-Server der Partner noch nicht gepatcht waren. Das N-central-Server läuft auf einer eigenen AlmaLinux-9-Distribution und hat oft keine EDR-Software installiert, weil er als Appliance betrieben wird. Das erschwert die Erkennung von Angriffen.

Was sollten Admins jetzt tun?

1. Sofort: N-central auf Version 2026.3.1.7 oder neuer aktualisieren
2. Prüfen: Logs auf verdachtige Administrator-Logins von ungewöhnlichen IP-Adressen durchsehen
3. Netzwerk: Verbindungen zu den von N-able und Huntress gemeldeten IP-Adressen prüfen (87.249.138.34, 37.19.210.32, 37.153.90.88, 92.118.112.181)
4. Persistenz: Cloudflare-basierte Verbindungen auf verwalteten Systemen untersuchen
5. Zugangsdaten: Alle Administrator-Passwörter für N-central zurücksetzen, Session-Tokens invalidieren
6. EDR: Falls nicht vorhanden, temporäre Monitoring-Lösungen auf dem N-central-Server einrichten

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen, die Managed Services von MSPs nutzen: Fragen Sie Ihren IT-Dienstleister, ob er N-central einsetzt und ob der Server aktualisiert wurde. Für MSPs selbst ist dies ein akuter Vorfall, der sofortige Handlung erfordert. Die Kombination aus aktiv ausgenutzter Schwachstelle und höchster Kritikalität lässt keinen Aufschub zu.

Passende Anleitungen auf S-EDV

1. Fortinet FortiOS SSL VPN Patch Bypass CVE-2025-68686 - Ein weiteres Beispiel für unvollständige Patches bei Remote-Zugriffs-Systemen
2. Microsoft Security Updates: Patch-Prozess und Priorisierung - Grundlagen zum strukturierten Patch-Management

Quellen

1. N-able: N-central Security Update (01.08.2026)
2. Huntress: Critical N-able N-central Vulnerability and Active Exploitation
3. TheHackerNews: N-able Says Attackers Take Over N-central Servers