N-central: Neue Exploit-Kette 4EverAble2Shell trifft auch Server mit Hotfix 2

Gegen N-able N-central läuft eine neue Angriffswelle, die auch Server mit dem aktuellen Hotfix 2 trifft. Der Sicherheitsforscher Sean Bales veröffentlichte am 12. November 2026 um 03:58 UTC eine Exploit-Kette namens „4EverAble2Shell“, die ohne Anmeldung zu Root-Rechten auf der N-central-Appliance führt. Laut dem Sicherheitsunternehmen Huntback liefen wenige Stunden später auf 21 echten N-central-Servern Kryptominer, 19 davon mit Hotfix 2.

Betroffen sind nach Angaben von N-able und des Forschers On-Premises-Installationen, bei denen die Legacy API eingeschaltet ist. Gehostete N-central-Umgebungen sind laut N-able, zitiert von Decipher, nicht betroffen. Einen neuen Hotfix gibt es bisher nicht. Wer N-central selbst betreibt, sollte die Legacy API sofort prüfen und den Server nach den veröffentlichten Indikatoren durchsuchen.

Was ist passiert?

N-able hatte am 10. November mit Hotfix 2 (Build 2026.4.1.26) sieben CVEs geschlossen, darunter die kritischsten Lücken aus der ersten „Able2Shell“-Veröffentlichung. Die neue Kette umgeht diesen Stand: Laut README des Forschers wurde sie gegen „2026.4.1.26 HF2“ geprüft, ein Nachtrag stellt klar, dass die Legacy API eingeschaltet sein muss.

Huntback beobachtete auf eigenen Ködersystemen ab 08:30 UTC erste Prüfungen und ab 09:16 UTC die vollständige Kette von einer einzelnen Adresse. Die Kette lädt als root einen XMRig-Miner nach; auf den Ködersystemen lief er nicht, wohl aber auf echten Servern. Über die Mining-Wallet des Angreifers zählte Huntback um 12:50 UTC 21 aktive N-central-Server, davon 9 in den USA, je 4 in Südafrika und Kanada und je einer in Großbritannien, Deutschland, Frankreich und Schweden. Auch das Unternehmen Lupovis nannte gegenüber SecurityWeek anhand derselben Wallet 21 Server. Ob auf allen Opfersystemen die Legacy API aktiv war, sagt der Bericht nicht.

N-able erklärte laut BleepingComputer und Decipher am 12. November, die Lücke setze eine nicht standardmäßige Konfiguration voraus, und schaltete vorsorglich die Intune-Integration ab. Am 13. November meldete der Hersteller laut SecurityWeek zusätzliche Indikatoren einer Kompromittierung bei einzelnen Kunden. Das Advisory selbst steht auf einer Statusseite, die sich nur im Browser per Skript lädt; die Zitate stammen daher aus der Fachpresse.

Wer ist betroffen?

Betroffen sind selbst betriebene N-central-Server mit eingeschalteter, aus dem Internet erreichbarer Legacy API. Laut N-able ist sie ab Werk ausgeschaltet. Gehostete Instanzen sind nach Herstellerangabe nicht betroffen. Unter den Opfern war laut Huntback auch ein Server mit der älteren Version 2025.3.1.9, bei einem weiteren nennt der Bericht keine Version.

Wie kritisch ist das?

Es handelt sich um eine Codeausführung aus der Ferne ohne Anmeldung mit anschließender Rechteausweitung zu root. Der Einstieg nutzt laut dem Forscher, zitiert von SecurityWeek, die Lücke CVE-2026-90436 in der nicht mehr gepflegten Bibliothek Apache Axis 1.x. In der NVD steht dafür ein CVSS-Wert von 9.8, vergeben von der CISA; das Axis-Projekt plant kein neues Release. Für die Rechteausweitung über ein Hilfsskript von N-central ist bisher keine CVE bekannt, Previdian führt sie als VULN-2026-0009. Da N-central als Fernwartungsplattform die Endgeräte von Kunden verwaltet, ist ein kompromittierter Server für MSPs ein Sprungbrett zu allen angebundenen Netzen.

Was sollten Admins jetzt tun?

• Inventar: Version jeder On-Premises-Instanz und den Status der Legacy API prüfen, die Legacy API ausschalten und den Server nicht direkt ins Internet stellen.
• Agents und Probes weiter nach den Vorgaben zu Hotfix 2 aktualisieren und die Release-Notes im Blick behalten: N-able arbeitet laut Tenable an zusätzlichen Gegenmaßnahmen für die neue Kette.
• Nach den Indikatoren von Huntback suchen: Verzeichnisse /tmp/.xvd oder /var/tmp/.xvd, xvd.service, /etc/cron.d/xvd, Crontab-Zeilen mit „# xvkeep“, Dateien serverchild-* in /var/opt/n-central/tmp/ und einen Symlink /var/opt/n-central/flag/flag_default.json. Einen Teil dieser Spuren beseitigt das Skript laut Huntback nach Erfolg selbst.
• Webserver-Logs auf POST-Anfragen an /dms/services/ServerUI mit „jline.internal.TerminalLineSettings“ und ausgehende Verbindungen zu 157.20.241[.]16, 139.99.69[.]109:10128 und 79.76.51[.]56:39100 sowie Prozesse mit „--rig-id nc_“ prüfen.
• Bei Treffern den Server als vollständig kompromittiert behandeln, neu aufsetzen und alle dort hinterlegten Zugangsdaten für Kundenumgebungen erneuern.

Einordnung für Unternehmen

Firmen mit externem IT-Dienstleister sollten nachfragen, ob dieser N-central selbst betreibt und wie er reagiert hat. Für MSPs zeigt der Fall erneut, dass ein Hotfix allein nicht reicht. Huntback rät, die Legacy API ausgeschaltet zu lassen, bis ein Fix vorliegt. Zwischen der Veröffentlichung des Exploits und den ersten erfolgreichen Angriffen lagen laut Lupovis und Huntback rund fünf Stunden.

Passende Anleitungen auf S-EDV

• N-able N-central: Exploits für über 30 gemeldete Lücken öffentlich, Server sollen vom Netz
• ScreenConnect-Angriffe auf MSPs: ConnectWise deaktiviert fünf Erweiterungen
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi

Quellen

• Huntback: Bericht zu Minern auf N-central-Servern
• Sean Bales: Veröffentlichung der Exploit-Ketten auf GitHub
• N-able: Release-Notes zu N-central 2026.4 Hotfix 2
• BleepingComputer: Bericht zu 4EverAble2Shell
• SecurityWeek: Bericht zu den Angriffen
• Decipher: N-able-Advisory zu den neuen Lücken
• Tenable: Fragen und Antworten zu den N-central-Lücken