Sofort patchen! CVE-2026-18577 in N-able N-central wird aktiv ausgenutzt
CVE-2026-18577 (CVSS 8,2, EPSS ≥ 71. Perzentil) und CVE-2026-18556 (CVSS 7,4, EPSS ≥ 19. Perzentil), die Anfang August veröffentlicht wurden, wurden beide innerhalb weniger Tage nach ihrer Offenlegung in die Liste der „Known Exploited Vulnerabilities“ (KEV) der CISA aufgenommen [1][2]. N-able hat Indikatoren für eine Kompromittierung (IoC) sowie Aktivitäten nach der Ausnutzung aus erfolgreichen Angriffen auf die eigenen gehosteten N-central-Instanzen veröffentlicht. Zur Behebung beider CVEs ist die N-central-Version 2026.3.1 erforderlich.
CVE-2026-18577 gilt als Umgehung des Fixes für CVE-2026-18556. Bei beiden handelt es sich um Schwachstellen zur Umgehung der Authentifizierung [CWE-288], die die Übernahme von Konten auf Administratorebene und die vollständige Kompromittierung der N-central-Server ermöglichen. Für CVE-2026-18556 oder CVE-2026-18577 wurde bislang weder öffentlicher Proof-of-Concept-Exploit-Code (PoC) noch eine detaillierte technische Analyse veröffentlicht. Mehrere nationale CERT-Stellen haben Warnungen zu den CVEs veröffentlicht [1][2][3][4][5][6][7].
Starten Sie Ihre kostenlose Testversion
Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung, die Instanzen von N-able N-central identifiziert, die für CVE-2026-18577 und, hierarchisch gesehen, für CVE-2026-18556 anfällig sind. Mit einer kostenlosen zweiwöchigen Testversion von OPENVAS SCAN und dem OPENVAS ENTERPRISE FEED erhalten Sie einen umfassenden Einblick in die Software-Schwachstellen in der Linux-Infrastruktur Ihres Unternehmens.
Eine Risikobewertung zu CVE-2026-18577 und CVE-2026-18556, die N-able N-central betreffen
Am 31. Juli 2026 stellte N-able böswillige Aktivitäten fest, die auf einen N-central-Server in einer Kundenumgebung abzielten. Die Analyse führte zur Entdeckung einer Zero-Day-Sicherheitslücke, der zunächst die CVE-2026-18556 zugewiesen wurde. Die Schwachstelle wurde in N-central 2026.2 behoben, doch die Korrektur ließ einen alternativen Weg zur Umgehung der Authentifizierung offen. N-able wies die Kennung CVE-2026-18577 zu, um die unvollständige Korrektur separat zu verfolgen. Am 2. August wurde N-central 2026.3 Hotfix 1 veröffentlicht, der beide CVEs vollständig behebt.
CVE-2026-18577 und CVE-2026-18556 stellen ein hohes Risiko dar, da N-central als Fernverwaltungsplattform in Managed-Service-Provider-Umgebungen (MSP) fungiert. N-central umfasst unter anderem Tools wie „Take Control“, „Remote Desktop“, XMPP-Steuerkanäle (Extensible Messaging and Presence Protocol) sowie SSH-Zugriff.
Wie aus den Berichten von N-able über Aktivitäten nach der Ausnutzung hervorgeht, führt die Kompromittierung eines N-central-Servers zu einem weitreichenden Risiko für die gesamten verwalteten Kundenumgebungen. Sicherheitsverantwortliche sollten das Problem als plattformweites Betriebsrisiko betrachten und nicht auf eine einzelne Komponente oder Angriffsfläche beschränken.
Mehrere Quellen berichten, dass im Jahr 2025 rund 3.000 N-central-Server dem öffentlichen Internet ausgesetzt waren [1][2]. Shodan identifiziert derzeit etwa 2.300 Instanzen. Dieser jüngste Vorfall ist nicht das erste Mal, dass N-central aktiv ausgenutzt wurde. Mitte 2025 wurden sowohl CVE-2025-8875 (CVSS 7,8) als auch CVE-2025-8876 (CVSS 8,8) in die KEV-Liste der CISA aufgenommen [3][4].
Technische Bewertung und Angriffsablauf
CVE-2026-18577 (CVSS 8,2, EPSS ≥ 71. Perzentil) ist das Ergebnis eines unvollständigen Patches für CVE-2026-18556 (CVSS 7,4, EPSS ≥ 19. Perzentil), der nur einen Tag vor CVE-2026-18577 veröffentlicht wurde. Beide Schwachstellen werden als Authentifizierungsumgehungs-Schwachstellen [CWE-288] beschrieben, die N-central-Instanzen betreffen. Berichte nach der Ausnutzung deuten darauf hin, dass sie die Übernahme von Konten auf Administratorebene und die vollständige Kompromittierung der Plattform ermöglichen. Die vom Anbieter bereitgestellten Nachweise enthalten keine Details zur Grundursache und identifizieren keine spezifischen ausnutzbaren Komponenten. Es wurden keine weiteren technischen Analysen oder PoC-Exploits veröffentlicht.
N-able hat Indikatoren für eine Kompromittierung (IoC) sowie Details zu den Folgen erfolgreicher Angriffe auf seine gehostete N-central-Infrastruktur veröffentlicht. Dazu gehören eine schädliche Datei namens „svchost.exe“ im Ordner „Dokumente“ des Benutzers, ein registrierter Dienst namens „Cloudflared“ sowie eingehende Verbindungen von mehreren IP-Adressen. Für Sicherheitsverantwortliche bedeutet dies, dass die Patches mit einer umfassenden forensischen Überprüfung der betroffenen Systeme und der Überwachung des Netzwerkverkehrs auf anomale Aktivitäten einhergehen sollten.
Zu den beobachteten Aktivitäten nach der Kompromittierung gehörten:
- Erlangung von Administratorrechten auf anfällige N-central-Server [T1190]
- Verwendung der „Take Control“-Funktion von N-central für den Fernzugriff auf verbundene Systeme [T1219.002]
- Installation eines bösartigen Dienstes [T1543.003] namens „Cloudflared“ auf verwalteten Endgeräten, um auch nach Entzug des Zugriffs über den N-central-Server weiterhin dauerhaften Fernzugriff zu gewährleisten
CVE-2026-18577 & CVE-2026-18556: Betroffene Versionen und Abhilfemaßnahmen
CVE-2026-18577
CVSS 8,2 · HochEPSS 1,5 % (71.)Wird aktiv ausgenutztIn CISA KEV
CVE-2026-18556
CVSS 7,4 · HochEPSS 0,3 % (19.)Wird aktiv ausgenutztIn CISA KEV
Sicherheitsverantwortliche sollten sich in erster Linie mit CVE-2026-18577 befassen, da es sich um eine Umgehung einer früheren Schwachstelle handelt. CVE-2026-18577 betrifft alle N-central-Instanzen vor Version 2026.3.1. Auf der Statusseite von N-able heißt es, dass gehostete N-central-Instanzen automatisch aktualisiert werden. Kunden mit selbst gehosteten Instanzen müssen jedoch den Hotfix 1 für Version 2026.3 installieren, der als Build 2026.3.1.7 gekennzeichnet ist.
N-able hat IoCs für die eigene forensische Analyse im Rahmen der Incident-Response veröffentlicht. Die IoC-Informationen legen nahe, dass die Verantwortlichen potenziell betroffene Systeme auf eine Datei namens „svchost.exe“ im Ordner „Dokumente“ des Benutzers, einen registrierten Dienst namens „Cloudflared“ sowie eingehende Verbindungen von mehreren beobachteten IP-Adressen überprüfen sollten.
Zusammenfassung
N-able hat N-central 2026.3 HF1 veröffentlicht, um die Sicherheitslücke CVE-2026-18577 zu beheben, von der alle früheren Versionen von N-central betroffen sind. Da es sich bei N-central um eine Verwaltungsplattform handelt, die von MSPs zur Verwaltung von Kundenumgebungen genutzt wird, ist das Betriebsrisiko hoch. Bekannte IoCs liegen aus der Analyse realer Sicherheitsvorfälle vor. Sicherheitsverantwortliche sollten die Bereitstellung des Hotfixes mit einer umfassenden forensischen Überprüfung potenziell kompromittierter Systeme verbinden.
Starten Sie Ihre kostenlose Testversion
Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung, die Instanzen von N-able N-central identifiziert, die für CVE-2026-18577 und, in der Hierarchie, für CVE-2026-18556 anfällig sind. Mit OPENVAS SCAN und einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED erhalten Sie garantiert den tiefsten Einblick, wo in der Linux-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.
Josephs Karriere im Bereich IT und Cybersicherheit ist von Vielfalt und Leidenschaft geprägt. Sie begann in den späten 1980er Jahren mit der Arbeit an einem IBM PS/2, der Montage von PCs und der Programmierung in C++.
Er studierte Computer- und Systemtechnik, Anthropologie und erwarb einen MBA mit Schwerpunkt Technologieprognose.
Josephs Fachgebiete umfassen Datenanalyse, Softwareentwicklung und insbesondere IT-Sicherheit in Unternehmen. Er ist Experte für Schwachstellenmanagement, Verschlüsselung und Penetrationstests.
