Aktive Ausnutzung kritischer N-central-Schwachstellen bei MSP-Umgebungen

Das Unternehmen N-able hat die aktive Ausnutzung kritischer Authentifizierungs-Bypass-Schwachstellen in der Plattform N-central bestätigt – einem System für Remote Monitoring and Management (RMM), das von Managed Service Providern (MSP) und IT-Teams zur Administration von Kundenendpunkten eingesetzt wird. Angreifer erlangten aus der Ferne administrativen Zugriff auf N-central-Server und nutzten diese als Sprungbrett zu verwalteten Kundensystemen. Der erste Patch erwies sich als unvollständig: Die Behebung eines Angriffsvektors (CVE-2026-18556) blockierte keinen alternativen Exploit-Pfad, der eine eigene Kennung CVE-2026-18577 erhielt. Die einzige abgesicherte Version ist der Build 2026.3.1.7, der am 2. August 2026 veröffentlicht wurde. Alle N-central-Anwender müssen unverzüglich auf diese Version aktualisieren und verwaltete Endpunkte auf Anzeichen einer Kompromittierung untersuchen.

Chronologie und technische Details der Schwachstellen

N-able begann die Untersuchung am 31. Juli 2026, nachdem ein anomales Volumen an Lizenzfehlern von lokalen Kundenservern aufgefallen war. Die Analyse ergab, dass Angreifer aus der Ferne administrativen Zugriff auf Server erhielten, die auf Version 2026.1 und älter liefen.

Die erste Schwachstelle, CVE-2026-18556, wird als „nicht authentifizierte Übernahme eines Administratorkontos“ klassifiziert (CWE-288 – Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal). N-able gab an, diesen Vektor in Version 2026.2 behoben zu haben. Später wurde jedoch eine alternative Ausnutzungsmöglichkeit derselben Schwachstelle entdeckt, die durch den vorherigen Fix nicht blockiert wurde. Dieser Umgehungspfad erhielt die Kennung CVE-2026-18577 und erweiterte den Bereich der verwundbaren Versionen auf alle Builds unterhalb von 2026.3.1.7.

Beide Schwachstellen werden von N-able mit einem Wert von 8,2 nach CVSS 4.0 bewertet. Keiner der CVE-Einträge legt den verwundbaren Endpunkt, die Abfolge der Requests oder Details auf Codeebene offen. Das Nationale Cybersicherheitszentrum Finnlands hat in einer Empfehlung vom 2. August bestätigt, dass alle bis zur Veröffentlichung des Notfall-Patches verfügbaren Versionen verwundbar waren.

Taktik der Angreifer: Vom Server-Compromise zur Persistenz

Nach der Kompromittierung eines N-central-Servers nutzten die Angreifer die integrierte Funktion Take Control, um auf die verwalteten Endpunkte zuzugreifen. Anschließend registrierten die Angreifer laut N-able Cloudflare-Tunnel als Systemdienste auf den Geräten. Solche Tunnel bauen eine ausgehende Verbindung zur Edge-Infrastruktur von Cloudflare auf und erfordern weder eingehende Firewall-Regeln noch offene Ports. Die Registrierung als Dienst stellte sicher, dass ein Neustart überstanden wurde, und die Tunnel selbst hielten den Zugriff der Angreifer aufrecht, selbst nachdem der Pfad über den kompromittierten N-central-Server wieder geschlossen worden war.

Entscheidend ist: Ein Update von N-central entfernt die auf verwalteten Endpunkten eingerichtete Persistenz nicht. Das bedeutet, dass Angreifer auch nach dem Patchen des Servers weiterhin Zugriff auf Kundenendgeräte über zuvor eingerichtete Tunnel behalten können.

Wichtig ist zudem: Cloudflare als Dienst wurde nicht kompromittiert – die Angreifer haben die legitime Tunneling-Funktionalität missbraucht.

Abweichende Beobachtungen: N-able und Huntress

Das Unternehmen Huntress hat in einem Bericht vom 3. August die Beobachtung einer Ausnutzung bei einer Organisation im eigenen Kundenstamm bestätigt. Nach Angaben von Huntress war die Aktivität mit einer selbst gehosteten N-central-Instanz innerhalb eines Partner-Accounts verknüpft. Den Forschern zufolge beschränkte sich die beobachtete Post-Exploitation-Aktivität auf die Auflistung laufender Prozesse auf Endpunkten, woraufhin die Angreifer die Verbindung trennten.

Ein wesentlicher Unterschied: Huntress hat die von N-able in den Benachrichtigungen an betroffene Kunden beschriebene Einrichtung von Cloudflare-Tunneln nicht beobachtet. Dies kann auf unterschiedliche Angriffsphasen in verschiedenen Umgebungen hindeuten oder darauf, dass Huntress ein frühes Stadium der Aufklärung vor dem Ausrollen von Persistenzmechanismen erfasst hat. Die Untersuchungen dauern an.

Nach Angaben von Huntress sind vier der sechs von N-able veröffentlichten IP-Adressen mutmaßlich Exit-Nodes der VPN-Dienste Mullvad oder NordVPN, was die Attribution erschwert.

Indikatoren einer Kompromittierung

N-able hat die folgenden mit den Angriffen in Verbindung stehenden IP-Adressen veröffentlicht:

• 173[.]249[.]252[.]200
• 87[.]249[.]138[.]34
• 37[.]19[.]210[.]32
• 37[.]153[.]90[.]88
• 92[.]118[.]112[.]181
• 68[.]235[.]46[.]214

Huntress hat zusätzlich drei von den Angreifern genutzte Domains veröffentlicht:

• mousears.synology[.]me
• wagoosh.direct.quickconnect[.]to
• who-ripped-one.direct.quickconnect[.]to

N-able hat empfohlen, auf Endpunkten nach folgenden Anzeichen einer Kompromittierung zu suchen:

• Datei svchost.exe im Ordner „Dokumente“ der Benutzer
• Dienst mit dem Namen Cloudflared
• Netzwerkverkehr zu den veröffentlichten IP-Adressen

Bewertung der Auswirkungen

N-central ist eine RMM-Plattform, und ihre Kompromittierung stellt ihrer Natur nach einen Angriff auf die Lieferkette dar: Ein kompromittierter MSP-Server eröffnet potenziell den Zugriff auf alle verwalteten Kundenumgebungen. N-able teilte mit, eine „begrenzte Anzahl“ betroffener Kunden identifiziert und benachrichtigt zu haben, legte aber weder die Anzahl der betroffenen Kunden noch die Zahl der betroffenen nachgelagerten Geräte, den Beginn der Ausnutzung, eine Zuordnung der Angreifer noch den Diebstahl von Daten offen.

Die Unvollständigkeit des ersten Patches verschärft die Lage: Organisationen, die auf Version 2026.2 oder sogar 2026.3, aber nicht auf 2026.3.1.7 aktualisiert haben, bleiben verwundbar. Laut Benachrichtigung von N-able werden Cloud-Instanzen von NCOD automatisch nach einem Zeitplan aktualisiert, der den Partnern direkt mitgeteilt wird, während selbst gehostete Server vom Kunden aktualisiert werden müssen.

Empfehlungen zur Reaktion

1. Sofort alle N-central-Instanzen auf Build 2026.3.1.7 aktualisieren – dies ist die einzige nicht verwundbare Version. Ein Update nur auf 2026.3 ist unzureichend.
2. Suche nach Persistenz auf allen verwalteten Endpunkten: Prüfen auf den Dienst Cloudflared, die Datei svchost.exe in den „Dokumente“-Ordnern der Benutzer sowie Netzwerkverbindungen zu den veröffentlichten IP-Adressen.
3. Prüfung der Take-Control-Logs: Datei ui_access_control.log und Protokolle C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz unter Windows. Huntress warnt, dass diese Logs auch bei legitimer Nutzung von Take Control erzeugt werden, sodass ihre bloße Existenz kein Beweis für eine Kompromittierung ist – eine Korrelation ist erforderlich.
4. Überprüfung von Sessions, die mit Support-IDs von N-able verknüpft sind, insbesondere [email protected].
5. Abgleich der veröffentlichten IP-Adressen und Domains mit den Protokollen der N-central-Oberfläche, Netzwerk-Logs und Endpunkt-Logs.
6. Beim Auffinden jeglicher Indikatoren einer Kompromittierung – Entfernung bösartiger Tunneling-Dienste, Kontaktaufnahme mit dem Support von N-able und Einbindung eines Incident-Response-Teams.

Die Situation rund um N-central verdeutlicht ein typisches Risiko von Remote-Management-Plattformen: Ein einzelner Kompromittierungspunkt skaliert auf alle verwalteten Umgebungen, und ein unvollständiger Patch erzeugt ein trügerisches Gefühl von Sicherheit. Für jeden N-central-Anwender hat derzeit Priorität, die Installation genau des Builds 2026.3.1.7 zu bestätigen und anschließend alle verwalteten Endpunkte umfassend auf eingerichtete Tunnel und nicht autorisierte Dienste zu prüfen, da ein Server-Update die bereits auf Kundenendgeräten etablierte Persistenz nicht entfernt.