N-able Zero-Day-Chain: Von Proof-of-Concept zu 21 gehackten Servern in wenigen Stunden

Eine Zero-Day-Exploit-Chain namens „4EverAble2Shell", die auf N-ables N-central Remote Monitoring and Management-Plattform abzielt, entwickelte sich am 12. November laut den Sicherheitsforschern Previdian und Huntback innerhalb weniger Stunden vom öffentlichen Proof-of-Concept zur aktiven Ausnutzung in freier Wildbahn. Die Chain kombiniert eine Schwachstelle in einer Apache-Axis-Komponente — erfasst als CVE-2026-90436 — mit einer separaten Privilege-Escalation-Schwachstelle in N-central, die von Previdian als VULN-2026-0009 geführt wird, um nicht authentifizierten Angreifern Root-Zugriff auf Server zu gewähren, auf denen das Legacy API von N-central aktiviert ist.

Huntback berichtete, dass Angreifer ab etwa 08:30 UTC begannen, Honeypots zu sondieren, und um 09:16 UTC vollständige Exploit-Chain-Versuche starteten; bis 12:50 UTC zählte das Unternehmen 21 aktiv schürfende Server unter den kompromittierten Hosts — verteilt auf die Vereinigten Staaten, Kanada, Südafrika, das Vereinigte Königreich, Deutschland, Frankreich und Schweden. Die beobachteten Angriffe setzten den XMRig Monero-Cryptominer ein und luden Payloads von einem Server unter 157.20.241[.]16. Ein verwandter Exploit namens „Agent2Shell", der auf die Agent-Funktionalität von N-central abzielt, soll Angreifern ermöglichen, Befehle mit SYSTEM-Rechten auf verwalteten Windows-Endpunkten auszuführen — ein Detail von erheblicher Bedeutung, da N-central RMM-Software ist: Sie existiert genau dazu, Managed Service Providern den Zugriff auf und die Kontrolle über die Infrastruktur ihrer Kunden zu ermöglichen. Genau das macht eine Kompromittierung der Plattform selbst so unverhältnismäßig schwerwiegend.

Die Proof-of-Concept-Exploits stammen vom Sicherheitsforscher Sean Bales, der Anfang November mehr als 30 angebliche N-central Zero-Days veröffentlichte und offen Kritik am Disclosure-Prozess von N-able geübt hat. Er gibt an, das Unternehmen habe zwei unzusammenhängende Remote-Code-Execution-Bugs, die er in einem anderen Produkt gemeldet hatte, seit Juli ungepatcht gelassen und keine Bounty gezahlt. Diese frühere Offenlegung zwang N-able, seine gehosteten N-central-Umgebungen weltweit offline zu nehmen; das Unternehmen lieferte Hotfix 2 (Version 2026.4.1.26 HF2) am 10. November aus. Trotz des Patches stellte Huntback fest, dass 19 der 21 identifizierten kompromittierten Server bereits diese gepatchte Version ausführten, was darauf hindeutet, dass HF2 die Lücke nicht vollständig geschlossen hat.

Am 12. November ergänzte N-able weitere Mitigations-Maßnahmen: die Deaktivierung der Intune-Integration, die Einschränkung bestimmter Plattformfunktionen sowie die Aufforderung an Kunden, sicherzustellen, dass das Legacy API — standardmäßig deaktiviert — weiterhin ausgeschaltet bleibt. Das Unternehmen erklärt, weitere Fixes seien in Entwicklung, nennt jedoch keinen Zeitplan. N-ables eigene Advisory meldete zunächst keine Anzeichen einer Kompromittierung, bevor externe Forscher das Gegenteil bewiesen — eine Abfolge, die ein wiederkehrendes Problem in der RMM-Sicherheit unterstreicht: Da diese Plattformen konstruktionsbedingt auf weitreichende administrative Zugriffsmöglichkeiten ausgelegt sind, kann die eigene Telemetrie eines Anbieters Ausnutzungen übersehen, die das eigene Monitoring eines Kunden zuerst entdeckt. Organisationen, die N-central betreiben, sollten auf unerwartete Anfragen an /dms/services/ServerUI mit Bezug auf jline.internal.TerminalLineSettings, einen unbekannten xvd.service, ungeklärte Mining-Prozesse sowie Dateien unter /tmp/.xvd oder /var/tmp/.xvd prüfen.