N-able nimmt N-central nach Veröffentlichung von über 30 Zero-Day-Exploits offline

N-able hat seine gehosteten N-central-Umgebungen am 9. November 2026 weltweit vom Netz genommen, nachdem der Sicherheitsforscher Sean Bales mehr als 30 angebliche Zero-Day-Schwachstellen in der Fernüberwachungs- und Verwaltungsplattform (RMM) veröffentlicht hatte, darunter Exploit-Ketten, mit denen Angreifer ein Administratorkonto anlegen und Befehle mit Root-Rechten ausführen können. N-able bestätigte den Vorfall um 15:15 Uhr UTC und forderte Kunden mit On-Premise-N-central-Servern auf, diese bis auf Weiteres herunterzufahren.

N-central ist das Rückgrat, über das viele Managed Service Provider (MSPs) die Netzwerke ihrer Kunden aus der Ferne verwalten: Patches einspielen, Software ausrollen und Endgeräte in Dutzenden oder Hunderten Kundenorganisationen von einer einzigen Konsole aus überwachen. Genau diese Bündelung von Zugriffsrechten hat RMM-Plattformen seit dem Kaseya-VSA-Angriff 2021 zu einem Lieblingsziel von Ransomware-Banden gemacht, bei dem ein einziges kompromittiertes Tool innerhalb eines Wochenendes Schadsoftware an rund 1.500 nachgelagerte Unternehmen verteilte. Eine neue, ungepatchte Lücke in N-central bedeutet für jeden MSP-Kunden dahinter dasselbe Single-Point-of-Failure-Risiko.

Bales veröffentlichte seine Erkenntnisse am späten Sonntagabend, dem 8. November, auf LinkedIn und stellte Proof-of-Concept-Code in einem GitHub-Repository namens "Able2Shell" bereit. Er sagte BleepingComputer, die Schwachstellen seien mit KI-Unterstützung gefunden und gegen N-central Appliance 2026.4.0.31, eine Vorabversion, getestet worden – er geht aber davon aus, dass die meisten Fehler auch ältere, aktuell eingesetzte Versionen betreffen. Die kritischste Kette nutzt eine nicht authentifizierte XML-External-Entity-Schwachstelle (XXE) in der Service-Import-Funktion, um eine vertrauenswürdige lokale Sitzung zu stehlen, ein Passwort zurückzusetzen und Befehle über das Servicekonto nable auszuführen; derselbe Fehler kann auch ein aktiviertes Administratorkonto mit vom Angreifer kontrollierten Zugangsdaten anlegen. Eine separate gespeicherte Cross-Site-Scripting-Schwachstelle erlaubt die Ausführung von Befehlen mit Root-Rechten, sobald ein Administrator manipulierte Patch-Metadaten aufruft, und ein dritter Fehler erhöht die Rechte vom Konto nable direkt auf Root.

N-able erklärt, bislang keine aktive Ausnutzung der offengelegten Schwachstellen beobachtet zu haben, und arbeitet an einem Hotfix, mit Status-Updates alle vier Stunden. Es wäre der fünfte Notfall-Patch-Zyklus des Unternehmens seit dem 1. August, nach einer Reihe von N-central-Schwachstellen in diesem Jahr, darunter eine Pre-Authentication-Remote-Code-Execution-Lücke mit Höchstschweregrad, die aktiv ausgenutzt und im September gepatcht wurde.

Bales sagt, er habe auf eine koordinierte Offenlegung verzichtet, weil N-able zwei nicht verwandte Remote-Code-Execution-Bugs und eine Privilege-Escalation-Schwachstelle, die er fünf bis sechs Monate zuvor in einem anderen N-able-Produkt gemeldet hatte, ignoriert habe – trotz mehrerer Nachfrage-E-Mails und ohne Zahlung einer Bug-Bounty-Prämie. "Sie nehmen Offenlegung nicht ernst", sagte er BleepingComputer. CEO und CTO von N-able hätten ihn nach der Veröffentlichung auf GitHub kontaktiert und gebeten, das Repository zu entfernen, ihn aber nicht bedroht. N-able beantwortete keine Fragen zu den früheren, ungepatchten Meldungen.

Für MSPs ist die kurzfristige Lösung einfach, aber schmerzhaft: N-central offline nehmen, wie N-able selbst empfiehlt, bis der Hotfix erscheint. Das tiefere Problem ist das Muster dahinter: Eine Plattform, die die Sicherheit Tausender nachgelagerter Unternehmen verwaltet, hat in drei Monaten fünf Notfall-Patches veröffentlicht, und der eigene Forscher sagt, nicht verwandte Meldungen seien ein halbes Jahr unbeantwortet geblieben. Jeder neue Offenlegungszyklus schwächt das Argument, so viel Zugriff über eine einzige, derart häufig zu patchende Konsole zu bündeln.

Laut Bericht von BleepingComputer.