N-able warnt vor aktiv ausgenutzter Schwachstelle

Eine aktiv von Angreifern ausgenutzte Schwachstelle in N-ables N-central erfordert sofortiges Eingreifen. Um zu verhindern, dass sich Cyberkriminelle darüber weitreichenden Zugang zur RMM-Plattform und den darüber verwalteten Systemen verschaffen können, sollte sofort ein Hotfix installiert oder das System deaktiviert werden.

N-able warnt davor, dass Angreifer eine als hoch eingestufte Schwachstelle in der Remote-Monitoring- und Management-Plattform (RMM) N‑central ausgenutzt haben. Partner und Kunden werden aufgefordert, verfügbare Patches für die als CVE-2026-18577 geführte Schwachstelle mit hoher Priorität einzuspielen. In einer E-Mail an CRN bezeichnete N-able die Angriffe als "aktive Sicherheitsbedrohung, die auf N-central-Umgebungen abzielt". Das Update N-central 2026.3.1.7 enthält laut N-able einen Hotfix für die Schwachstelle. "N-able empfiehlt allen Kunden, umgehend auf die Hotfix-Version 2026.3.1.7 zu aktualisieren", erklärte das Unternehmen in seiner Sicherheitsmeldung.

Der Cybersicherheitsanbieter Huntress erklärte in einem Beitrag ebenfalls, bislang zumindest eine Ausnutzung bei einer Kundenorganisation beobachtet zu haben.

Not-Hotfix verfügbar

N-able hat einen Notfall-Hotfix für die aktiv ausgenutzte Schwachstelle veröffentlicht, die eine Übernahme mit administrativen Rechten der weit verbreiteten RMM-Plattform N-central aus der Ferne ermöglichen kann. "Wir haben umgehend einen Notfall-Hotfix veröffentlicht und alle Kunden direkt mit der Aufforderung informiert, das Update ohne Verzögerung einzuspielen – Stand heute innerhalb von 24 Stunden nach Feststellung der Auswirkungen", erklärte N-able in einer E-Mail an CRN.

Huntress berichtete am Montag, dass mehr als die Hälfte der erreichbaren N-central-Cloud-Server bei seinen Partnern und Kunden den Hotfix noch nicht erhalten hatte. "Wir kontaktieren Kunden aktiv, damit sie umgehend auf den Hotfix aktualisieren, sofern sie dies nicht bereits getan haben", erklärte N-able in der E-Mail.

Mögliche Auswirkungen

Weiter erklärte N-able gegenüber CRN, die Untersuchung dauere an. Das Unternehmen stelle Kunden aktualisierte Handlungsempfehlungen bereit, sobald neue Informationen verfügbar seien.

N-central wird von MSPs breit eingesetzt, um Systeme in Kundenumgebungen aus der Ferne zu überwachen und zu verwalten. Nach Erlangung administrativen Zugriffs auf verwundbare N-central-Server nutzten die Angreifer laut Huntress die Remote-Access-Funktion Take Control der Plattform, um sich mit verwalteten Systemen zu verbinden. Anschließend richteten sie Cloudflare-Tunnel ein, über die der Zugriff auch dann bestehen bleiben konnte, nachdem die Angreifer vom N-central-Server entfernt worden waren, so Huntress.

Übernahme mit administrativen Rechten aus der Ferne

Die Authentifizierungsumgehung kann es einem entfernten Angreifer ermöglichen, administrativen Zugriff auf einen N-central-Server zu erlangen, ohne zuvor über gültige Zugangsdaten zu verfügen, wie das Unternehmen mitteilte. Die Schwachstelle hat einen als "hoch" eingestuften Schweregrad von 8,2 von 10,0 Punkten. Sie erfordert weder besondere Berechtigungen noch eine Nutzerinteraktion, gilt laut N-able jedoch als schwer auszunutzen.

N-able erklärte, die Untersuchung habe ergeben, dass ein Angreifer einen Weg gefunden habe, jede N-central-Serverversion vor 2026.3.1.7 auszunutzen und aus der Ferne administrativen Zugriff zu erlangen.

Huntress beschrieb den daraus resultierenden Zugriff in seinem Beitrag als faktische "God-Mode"-Kontrolle über die RMM-Konsole. Ein Angreifer mit diesem Zugriffsniveau könnte potenziell Aufträge erstellen oder ändern, Skripte ausführen, Konten und Richtlinien ändern sowie Remote-Sitzungen auf Endpunkten starten, die über die Plattform verwaltet werden, so das Unternehmen.

Deaktivierung von N-central erwägen

Die Schwachstelle umgeht die "normale Authentifizierung". Das bedeute: "Wenn Ihr N-central-Server weiterhin breit aus dem Internet oder aus anderen nicht vertrauenswürdigen Netzwerken erreichbar ist, sollten Sie dringend erwägen, N-central vorübergehend zu deaktivieren – bis hin dazu, den Server offline zu nehmen –, bis der Hotfix von N-able verfügbar ist und Sie ihn hinter strengen Netzwerkkontrollen wieder in Betrieb nehmen können", erklärte Huntress in seinem Beitrag.

Huntress erklärte, man habe "eine Ausnutzung bei einer Organisation in unserer Kundenbasis" beobachtet und "suche kontinuierlich in unserer Telemetrie nach N-central-bezogenen Aktivitäten und überprüfe Protokolle, die zu der von N-able beschriebenen Vorgehensweise passen".

Zu den Aktionen, die Bedrohungsakteure durch Ausnutzung der Schwachstelle durchführen können, zählt laut Huntress das Initiieren von "Remote-Control-Sitzungen auf Servern und Workstations, einschließlich Domain Controllern und anderen kritischen Systemen".

Priorisierung empfohlen

N-able hat den N-central-Hotfix am Sonntag veröffentlicht und empfiehlt allen Kunden, ihn umgehend zu installieren.

Für von N-able gehostete N-central-Kunden hat das Unternehmen eigenen Angaben zufolge bereits zuvor Schutzmaßnahmen auf alle gehosteten Instanzen angewendet und mit der Bereitstellung des Hotfixes begonnen.

On-Premises-Kunden müssen den Hotfix selbst herunterladen und installieren, so das Unternehmen.

N-able erklärte, man habe eine begrenzte Zahl kompromittierter Kunden identifiziert und diese direkt kontaktiert. Die Zahl der betroffenen Organisationen nannte das Unternehmen jedoch nicht.

Dieser Artikel erschien zuerst bei unserer Schwesterpublikation crn.com.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden