CVE-2026-18577 — eine Authentifizierungs-Bypass-Schwachstelle in der Remote-Monitoring-Plattform N-able N-central (CVSS 8.2) — wurde von CISA am 3. August 2026 nach Bestätigung der aktiven Ausnutzung in den Katalog Known Exploited Vulnerabilities aufgenommen. Ein erfolgreicher Angriff verschafft dem Angreifer administrativen Zugriff auf den N-central-Server und die Möglichkeit, über die integrierte Take Control-Funktion in verwaltete Endpunkte einzudringen. US-Bundesbehörden ist vorgeschrieben, den Patch bis zum 6. August 2026 zu installieren. Alle Organisationen, die N-central verwenden, müssen umgehend auf Version 2026.3 HF1 aktualisieren und ihre Umgebung auf Indikatoren einer Kompromittierung überprüfen.
Technischer Kern der Schwachstelle
CVE-2026-18577 stellt einen Authentifizierungs-Bypass über einen alternativen Pfad oder Kanal dar (CWE-288). Nach Angaben des Herstellers ist diese Schwachstelle das Ergebnis einer unvollständigen Behebung der zuvor entdeckten CVE-2026-18556 (ebenfalls CVSS 8.2). Tatsächlich schloss der ursprüngliche Patch nicht alle Angriffsvektoren, was es Forschern und Angreifern ermöglichte, einen Umgehungsweg zu finden.
Die Ausnutzung erlaubt es einem entfernten, nicht authentifizierten Angreifer:
- den Authentifizierungsmechanismus von N-central zu umgehen
- administrativen Zugriff auf den Management-Server zu erlangen
- die integrierte Take Control-Funktion zu nutzen, um sich mit verwalteten Endpunkten zu verbinden
- Persistenzmechanismen in der Infrastruktur zu etablieren
Das Fix ist in der Version N-central 2026.3 HF1 verfügbar, wie N-able am 2. August mitteilte. Der Hersteller bestätigte, dass eine „begrenzte Zahl von Kunden“ über diese Schwachstelle kompromittiert wurde.
Beobachtete Aktivität und Taktiken der Angreifer
Nach Angaben der Forscher von Huntress wurde die Ausnutzung von CVE-2026-18577 in mehreren Organisationen festgestellt. Der Angriff hat bislang noch nicht den Charakter einer Massenkampagne angenommen und wurde keiner bekannten Gruppe zugeordnet.
Charakteristische Aktivitäten der Angreifer nach Erlangung des Zugriffs:
- Aufklärung: gezielte Suche nach Schlüsselservern, in erster Linie Domänencontrollern
- Auflistung von Prozessen: Sammlung von Informationen über laufende Prozesse auf dem kompromittierten Host mit anschließender Beendigung
- Laterale Bewegung: Wechsel auf andere Hosts in der Infrastruktur des Opfers
Besondere Aufmerksamkeit verdient die Art der initialen Verbindung. In mindestens einem Fall nutzte der Angreifer das Konto „MSP Support“ – den Standardbenutzernamen für legitime Take Control-Sitzungen in N-central. Das bedeutet, dass sich der Angreifer als reguläre Aktivität des MSP-Providers tarnte, was die Erkennung erheblich erschwert.
Infrastruktur der Angreifer
Alle vier IP-Adressen, die als Indikatoren einer Kompromittierung genannt werden, sind Exit-Knoten kommerzieller VPN-Dienste. Nach Angaben von Huntress ist die Adresse 87.249.138[.]34 mit NordVPN verbunden, und 37.19.210[.]32 mit Mullvad VPN. Letztere trat bereits zuvor in Vorfällen im Zusammenhang mit Brute-Force-Angriffen und dem Versand von Spam in Erscheinung. Die Nutzung kommerzieller VPN-Dienste ist ein typisches Mittel, um die Attribution zu erschweren, und die bloße Verwendung dieser Dienste lässt keinen Rückschluss auf eine bestimmte Gruppe zu.
Indikatoren einer Kompromittierung
N-able hat die folgenden IOC zur Überprüfung bereitgestellt:
Datei- und Service-Indikatoren:
- Datei svchost.exe im Ordner „Dokumente“ der Benutzer der Geräte (nicht zu verwechseln mit dem legitimen Systemprozess svchost.exe im System32-Verzeichnis)
- Registrierter Dienst mit dem Namen Cloudflared — ein legitimes Tunneling-Tool von Cloudflare, das von Angreifern häufig verwendet wird, um versteckte ausgehende Verbindungen zu erstellen und bösartigen Datenverkehr als legitim erscheinen zu lassen
Netzwerkindikatoren — eingehende Verbindungen von IP-Adressen:
- 173.249.252[.]200
- 87.249.138[.]34
- 37.19.210[.]32
- 68.235.46[.]214
Warum das kritisch ist: Kontext von Angriffen auf RMM-Plattformen
Plattformen für Remote Monitoring and Management (RMM) sind für Angreifer aus mehreren Gründen besonders wertvoll. Erstens kann ein einziger kompromittierter N-central-Server Hunderte oder Tausende von Endpunkten verwalten – ein Multiplikator für den Zugriff. Zweitens stellt die Take Control-Funktion einen legitimen Kanal für die Fernverwaltung dar, der nur schwer von der regulären Arbeit eines MSP-Providers zu unterscheiden ist. Drittens laufen RMM-Agenten auf den verwalteten Geräten in der Regel mit erhöhten Privilegien.
Die Situation wird dadurch verschärft, dass CVE-2026-18577 bereits der zweite fehlgeschlagene Patch für dasselbe Problem ist (unvollständige Behebung von CVE-2026-18556). Zudem wurden ein Jahr zuvor zwei weitere Schwachstellen in N-central (CVE-2025-8875 und CVE-2025-8876) bereits in begrenzten Angriffen auf lokale Installationen ausgenutzt, was auf ein anhaltendes Interesse von Angreifern an diesem Produkt hinweist.
Empfehlungen zur Reaktion
Sofortige Maßnahmen:
- N-central aktualisieren auf Version 2026.3 HF1 oder höher. Für US-Bundesbehörden ist der Stichtag der 6. August 2026
- Take Control-Protokolle prüfen auf Sitzungen unter dem Benutzernamen „MSP Support“ oder von den oben genannten IP-Adressen
- Endpunkte überprüfen auf die Datei svchost.exe in den Benutzerordnern „Dokumente“ und auf den Dienst Cloudflared
- Blockieren eingehender Verbindungen von den vier genannten IP-Adressen am Netzperimeter
Zusätzliche Maßnahmen:
- Audit aller Konten mit administrativen Privilegien in N-central durchführen, ungenutzte und Standardkonten entfernen
- Domänencontroller und kritische Server auf Anzeichen unbefugten Zugriffs prüfen, unter Berücksichtigung des beobachteten Aufklärungsmusters
- Netzwerkzugang zur N-central-Managementoberfläche per IP-Adressen einschränken und Multi-Faktor-Authentifizierung einführen, falls dies noch nicht geschehen ist
Organisationen, die N-able N-central verwenden, sollten das Update auf Version 2026.3 HF1 als Aufgabe mit höchster Priorität betrachten. Angesichts der Tatsache, dass die Schwachstelle bereits ausgenutzt wird und Angreifer ihre Aktivitäten als legitime MSP-Sitzungen tarnen, reicht ein bloßes Update nicht aus – es ist notwendig, eine rückwirkende Analyse der Take Control-Protokolle durchzuführen und die verwalteten Endpunkte auf die genannten Indikatoren einer Kompromittierung zu prüfen.
