Für IT-Dienstleister, die ihre Kunden mit N-able N-central fernwarten, herrschte ab dem 9. November 2026 Ausnahmezustand. An diesem Tag nahm N-able seine gehosteten N-central-Umgebungen in Amerika, Europa und Asien-Pazifik vorsorglich vom Netz und forderte Kunden mit eigenen Servern auf, diese ebenfalls abzuschalten. Auslöser war die Veröffentlichung von 33 mutmaßlichen Zero-Day-Lücken samt Exploit-Code durch einen Sicherheitsforscher. Seit dem Abend des 10. November steht N-central 2026.4 HF2 bereit, der nach Herstellerangaben die kritischsten der veröffentlichten Lücken schließt. Zugleich meldet N-able Scans, die mit dem veröffentlichten Code zusammenhängen.

Able2Shell: 33 Einträge mit Exploit-Code

Der Forscher Sean Bales veröffentlichte die Sammlung „Able2Shell“ auf GitHub. Der Commit trägt den Zeitstempel 9. November, 4:14 Uhr UTC; in den USA war es noch der Abend des 8. November. Das Verzeichnis listet 33 Schwachstellen mit Python-Skripten, Beispielausgaben und Screenshots: Umgehung der Authentifizierung, Preisgabe von Zugangsdaten, beliebiges Schreiben von Dateien, Pfad-Traversal, XSS, XXE, Codeausführung und Rechteausweitung bis root. Getestet hat Bales nach eigenen Angaben auf der N-central-Appliance 2026.4.0.31, einer Vorabversion. Er geht davon aus, dass die meisten Lücken auch in älteren Versionen funktionieren. Gegenüber BleepingComputer sagte er, die Funde seien KI-gestützt entstanden.

Als schwerwiegendste Kette nennt Bales eine XXE-Lücke im Service-Import, die ohne Anmeldung ausnutzbar sein soll. Laut seiner Beschreibung verarbeitet der Parser eine vom Angreifer gelieferte DTD, bevor er die Sitzung prüft. Darüber lässt sich eine vertrauenswürdige lokale Sitzung abgreifen, ein Kontopasswort zurücksetzen und eine JSP-Datei mit den Rechten des Systemkontos „nable“ ausführen. Auf Wunsch legt der Exploit zusätzlich ein aktives Administratorkonto mit selbst gewählten Zugangsdaten an. Andere Ketten führen über gespeichertes XSS in Patch-Metadaten, das beim Ansehen durch einen Administrator auslöst, bis zu root-Rechten.

Vorab informiert hat Bales den Hersteller nicht. Gegenüber BleepingComputer begründet er das mit früheren Erfahrungen: Zwei Lücken zur Codeausführung und eine Rechteausweitung in einem anderen N-able-Produkt habe er vor fünf bis sechs Monaten gemeldet, sie seien noch nicht behoben. N-able sprach in seiner ersten Warnung von einer „non-responsible communication“, also einer nicht abgestimmten Veröffentlichung. Eine Stellungnahme des Herstellers zu Bales' Vorwürfen liegt nicht vor.

Cloud aus, Hotfix da, Scans laufen

N-ables Statusseite führt den Vorfall seit dem 9. November, 14 Uhr UTC, als „Major Outage“. In der ersten Stellungnahme hieß es, man habe keine aktive Ausnutzung beobachtet, ein Hotfix werde entwickelt. Am 10. November folgte N-central 2026.4 Hotfix 2 mit der Build-Nummer 2026.4.1.26. Laut Release Notes verschärft er Authentifizierung und Rechteprüfung, prüft Datei-Uploads und Logs strenger, härtet Serverkomponenten und die Kommunikation zwischen Agent und Probe, entfernt die alte Mobilgeräteverwaltung (MDM) und aktualisiert Betriebssystem und Drittkomponenten. Die eingebaute Fernsteuerung ist vorerst abgeschaltet, Take Control funktioniert weiter. Ein weiterer Hotfix ist angekündigt.

Am 11. November um 1:04 Uhr UTC meldete N-able, alle gehosteten Server (NCOD) in allen Regionen seien aktualisiert. Geschlossen ist der Vorfall damit nicht, die Statusseite steht weiter auf „Monitoring“. Vor allem warnt N-able inzwischen vor Scan-Aktivität im Zusammenhang mit dem veröffentlichten Proof-of-Concept-Code und rät, N-central-Server offline zu lassen, bis sie aktualisiert sind. Von bestätigten Einbrüchen bei Kunden spricht der Hersteller bislang nicht.

Symbolbild: zwei Netzwerk-Switches mit Patchkabeln

Symbolbild – Foto: ShakataGaNai / Wikimedia Commons, Lizenz CC BY-SA 3.0

Sieben CVEs für 33 Einträge

Mit dem Hotfix hat N-able als CVE-Vergabestelle sieben Einträge veröffentlicht, alle mit CVSS-4.0-Werten des Herstellers. Kritisch mit 9,3 sind CVE-2026-125883 (mehrere XXE-Lücken) und CVE-2026-125881 (Server-Side Request Forgery über die Schema-Prüfung beim Service-Import); beide setzen laut Bewertung keine Anmeldung voraus. Als hoch stuft N-able CVE-2026-125878 ein (mehrere OGNL-Injection-Lücken, 8,7), dazu CVE-2026-125879 (root über eine vom Konto „nable“ beschreibbare syslog-ng-Konfiguration, 8,6), CVE-2026-125882 (Codeausführung per Pfad-Traversal beim Datei-Upload, 8,6), CVE-2026-91000 (unsichere IPC-Kanäle, 8,4) und CVE-2026-125880 (gespeichertes XSS über Patch-Metadaten, 8,3). Betroffen sind laut Advisories alle Versionen vor 2026.4.1.

Wie sich die sieben Einträge auf die 33 Funde verteilen, schlüsselt N-able nicht auf. Zwei CVEs fassen ausdrücklich mehrere Lücken zusammen. Die Pfad-Traversal-Lücke schreibt N-able Nate Fair von Sprocket Security zu, obwohl auch Bales' Liste eine solche Lücke enthält; Bales selbst wird in den Advisories nicht genannt. Ob die übrigen Einträge mit dem Folge-Hotfix kommen, schon mit abgedeckt sind oder vom Hersteller nicht anerkannt werden, ist offen. Bis dahin bleiben sie mutmaßliche Lücken.

Warum ein RMM-Server ein lohnendes Ziel ist

N-central ist ein RMM-System (Remote Monitoring and Management): Dienstleister überwachen damit Rechner und Server ihrer Kunden, verteilen Patches und führen Skripte aus. Wer den Server übernimmt, kommt potenziell an alle verwalteten Systeme. Dass das keine Theorie ist, zeigte der August: Angreifer nutzten die Authentifizierungsumgehung CVE-2026-18577, verbanden sich laut N-able über die Fernsteuerfunktion Take Control mit Systemen in Kundennetzen und richteten dort einen Cloudflare-Tunnel ein, um den Zugang zu behalten. Die US-Behörde CISA führt in ihrem Katalog aktiv ausgenutzter Lücken (KEV) aus diesem Jahr bereits drei N-central-Lücken: CVE-2026-18577, CVE-2026-18556 und CVE-2026-86218.

Was du jetzt tun solltest

  • Eigene Server aktualisieren: On-Premises-Installationen auf 2026.4 HF2 (Build 2026.4.1.26) bringen und bis dahin offline lassen, wie N-able es empfiehlt. Direkt unterstützt sind Upgrades ab Version 2025.4; ältere Installationen müssen erst auf eine unterstützte Version.
  • Agents und Probes nachziehen: Das müssen auch Kunden der gehosteten Variante selbst erledigen. N-able rät, zuerst die Agents und dann die Probes zu aktualisieren, sonst bricht die Verbindung ab und Funktionen wie der Offline-Patch-Cache fallen aus. Die Patch Management Engine verteilt N-able automatisch.
  • Nach Spuren suchen: Das Sicherheitsunternehmen Field Effect rät, die Logs ab der Zeit vor der Abschaltung auf Anmeldungen, neue Administratorkonten, Rechteänderungen, Skripte, Software-Verteilungen und Fernsitzungen zu prüfen; der veröffentlichte XXE-Exploit kann selbst ein Administratorkonto anlegen. Außerdem solltest du festhalten, welche Systeme N-central vertrauen, etwa Domain Controller, Backup und Virtualisierung, und bei Verdacht Zugangsdaten, Dienstkonten und API-Integrationen tauschen.
  • Konsole abschotten: Die Verwaltungsoberfläche sollte laut Field Effect nur aus eigenen Admin-Netzen erreichbar sein. Ob sie aus dem Internet antwortet, prüfst du von einem Rechner außerhalb deines Netzes.
# Hostname durch deine N-central-Adresse ersetzen.
# Kommt eine HTTP-Statuszeile zurück, ist die Konsole öffentlich erreichbar.
curl -skI --max-time 5 https://ncentral.example.com/ | head -n 1

Wer die gehostete Variante nutzt, muss am Server selbst nichts tun, sollte aber die Statusseite im Blick behalten. Der angekündigte Folge-Hotfix soll laut N-able weitere Sicherheitskorrekturen im Zusammenhang mit der Veröffentlichung bringen.

Quellen

Bildnachweis