N-ables Patch für eine kritische N-central-Schwachstelle hinterließ ein zweites Loch, das Angreifer nun nutzen, um MSP-Server zu übernehmen.

N-able hat bestätigt, dass Angreifer aktiv seine Remote-Monitoring- und Management-Plattform N-central ausnutzen – und das, obwohl das Unternehmen bereits einen Patch für die ursprüngliche Schwachstelle ausgeliefert hatte. Der unvollständige Fix ließ einen zweiten Angriffsweg offen, und Forscher berichten, dass Angreifer diesen nun nutzen, um Server zu übernehmen, die von Managed Service Providern zur Verwaltung der IT-Systeme ihrer Kunden eingesetzt werden.

Ein Patch, der die Arbeit nicht zu Ende brachte

Die ursprüngliche Schwachstelle, verfolgt als CVE-2026-18556, ist eine nicht authentifizierte Übernahme des Administratorkontos – Angreifer konnten ohne gültige Zugangsdaten vollen administrativen Zugriff auf einen N-central-Server erlangen. N-able veröffentlichte Build 2026.2, um dieses Loch zu schließen. Doch Forscher fanden anschließend einen alternativen Weg in dieselbe Klasse von Fehlern, katalogisiert als CVE-2026-18577, der alle Builds vor 2026.3.1.7 betrifft – veröffentlicht nur einen Tag vor dieser Offenlegung am 2. August.

Genau diese Lücke zwischen dem ersten Patch und dem eigentlichen Fix haben Angreifer ausgenutzt. N-central ist weit verbreitet bei Managed Service Providern (MSPs) – Unternehmen, die IT-Infrastruktur für dutzende oder hunderte nachgelagerte Kundenorganisationen aus einer einzigen Konsole heraus remote verwalten. Die Kompromittierung einer einzigen N-central-Instanz kann einen Weg in jedes Unternehmen öffnen, das dieser MSP betreut – genau das macht Remote-Management-Software zu einem hochattraktiven Ziel.

Wie der Angriff abläuft

Sobald Angreifer administrativen Zugriff auf einen verwundbaren N-central-Server erlangen, nutzen sie dessen integrierte „Take Control“-Funktion – eigentlich für legitimen Remote-Support gedacht –, um verwaltete Endpoints zu erreichen. Von dort registrieren sie Cloudflare-Tunnel als dauerhafte Dienste auf diesen Endpoints. Da Cloudflare-Tunnel ausgehend zu Cloudflares Edge-Netzwerk verbinden, benötigen sie keine eingehende Firewall-Regel und keinen offenen Listening-Port, was sie mit herkömmlichem Netzwerk-Monitoring schwer erkennbar macht. Der Betrieb des Tunnels als Systemdienst bedeutet zudem, dass er einen Neustart übersteht – Angreifer erhalten so dauerhaften, schwer sichtbaren Zugriff.

Umfang und reale Auswirkungen

N-able hat eine „begrenzte Anzahl betroffener Kunden“ eingeräumt, aber keine genauen Zahlen genannt. Die Sicherheitsfirma Huntress, die Vorfälle im gesamten MSP-Ökosystem untersucht, berichtet von aktiver Ausnutzung bei einer Organisation, die sich auf neun separate nachgelagerte Unternehmen auswirkte – Angreifer erreichten dabei mindestens einen Endpoint in jedem dieser Unternehmen. Ein konkretes Beispiel dafür, wie eine einzige kompromittierte Management-Plattform sich durch den gesamten Kundenstamm ausbreiten kann.

Was Administratoren jetzt tun müssen

N-able drängt alle N-central-Kunden, sofort auf Build 2026.3.1.7 oder neuer zu aktualisieren. Über das Patchen hinaus sollten Administratoren Logs auf nicht autorisierte „Take Control“-Sitzungen prüfen, nach unbekannten Cloudflare-Tunnel-Diensten auf verwalteten Endpoints suchen und auf verdächtige svchost.exe-Prozesse achten, die aus den Documents-Ordnern von Benutzern gestartet werden – ein Muster, das Ermittler mit dieser spezifischen Angriffskette in Verbindung gebracht haben.

Wie The Hacker News berichtet, unterstreicht dieser Vorfall ein wiederkehrendes Problem in der MSP-Software-Kategorie: Remote-Management-Tools sind von Natur aus für breiten, privilegierten Zugriff gebaut, was jede Authentifizierungslücke in ihnen unverhältnismäßig gefährlicher macht als einen Fehler in einer einzelnen eigenständigen Anwendung.