N-able behebt kritische Pre-Auth-RCE in N-central – widersprüchliche Berichte über Ausnutzung

N-able hat ein Notfall-Update für N-central veröffentlicht, seine On-Premises-Plattform für Remote Monitoring und Management. Damit wird eine kritische Schwachstelle behoben, die eine Ausführung von Code aus der Ferne ohne Authentifizierung ermöglicht.

Die als CVE-2026-86218 geführte Schwachstelle betrifft alle N-central-Builds vor 2026.3.1.14. Dazu gehört auch 2026.3.1.13, das kurz vor der Bekanntgabe der neuen Schwachstelle als Hotfix 3 verteilt wurde.

Der korrigierte Build N-central 2026.3.1.14 ist als 2026.3 Hotfix 4 verfügbar. N-able hat den CVE-Eintrag am 6. September 2026 veröffentlicht und aktualisiert und fordert alle On-Premises-Kunden dringend auf, sofort zu aktualisieren.

Ob Angreifer die Schwachstelle bereits ausnutzen, ist weiterhin unklar. N-able hat widersprüchliche Angaben gemacht: In einigen Unternehmensmitteilungen heißt es, es gebe keine bestätigte Ausnutzung in Produktivumgebungen, während eine separate Meldung zu einem Sicherheitsvorfall besagt, dass eine Ausnutzung in freier Wildbahn beobachtet wurde.

Schwachstelle mit maximalem Schweregrad ohne erforderliche Zugangsdaten

CVE-2026-86218 erhält den maximalen CVSS-4.0-Score von 10,0 mit folgendem Vektor:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Die Bewertung beschreibt eine über das Netzwerk erreichbare Schwachstelle, die sich mit geringer Angriffskomplexität ausnutzen lässt. Ein Angreifer benötigt weder ein Konto noch Berechtigungen oder eine Interaktion durch einen legitimen Benutzer.

Eine erfolgreiche Ausnutzung kann sich sowohl auf die Vertraulichkeit, Integrität und Verfügbarkeit des N-central-Servers als auch auf nachgelagerte Systeme erheblich auswirken. Bei einem RMM-Produkt ist das besonders folgenreich, da N-central-Server ganze Flotten von Kundenendpunkten verwalten und Fernsteuerungsfunktionen bereitstellen.

Die zugrunde liegende Schwachstelle ist als CWE-96 klassifiziert, also als unzureichende Neutralisierung von Direktiven in statisch gespeichertem Code. Diese Kategorie wird häufig als statische Code-Injection bezeichnet: Von einem Angreifer kontrollierte Direktiven werden in Code oder eine andere ausführbare Ressource eingebunden, die gespeichert und später verarbeitet wird.

N-able hat weder die verwundbare Komponente noch das erforderliche Anfrageformat, das Vorgehen zur Ausnutzung oder andere technische Details veröffentlicht, die eine Reproduktion des Problems ermöglichen würden. Es wurden keine öffentlichen Indicators of Compromise bereitgestellt.

Laut CVE-Eintrag beginnt der betroffene Versionsbereich bei Version 0 und umfasst alle Releases vor 2026.3.1.14. Betroffen ist der N-central-Server, nicht die von ihm verwalteten Agents.

Systeme mit Hotfix 3 bleiben verwundbar

Hotfix 4 ist auch auf Servern erforderlich, die bereits Hotfix 3, Build 2026.3.1.13, erhalten haben. Das frühere Release behob zwei separate Schwachstellen:

• Bei CVE-2026-86206 ging es um unbefugten Zugriff auf interne APIs über den internen API-Zugriffskontrollfilter von N-central. N-able stufte die Schwachstelle mit einem CVSS-Score von 6,9, Medium, ein, während die NVD sie als CWE-791 klassifiziert. Sie ist in N-central 2026.3 HF3 und 2026.4 behoben.
• CVE-2026-86207 war ein Authentifizierungs-Bypass, der interne APIs betraf. N-able bewertete die Schwachstelle mit einem CVSS-Score von 7,7, High; sie ist als CWE-305 klassifiziert. Versionen vor 2026.3 HF3 sind betroffen.

N-able zufolge stehen diese beiden Schwachstellen in keinem Zusammenhang mit CVE-2026-86218. Die Installation von Hotfix 3 verhindert daher nicht den neuen Pfad zur Codeausführung vor der Authentifizierung.

Hotfix 4 ist innerhalb von fünf Wochen das vierte Update für den N-central-Zweig 2026.3. Hotfix 1, Build 2026.3.1.7, erschien am 2. August, um CVE-2026-18577 zu beheben, eine unvollständige Behebung eines früheren Authentifizierungs-Bypasses. Hotfix 2, Build 2026.3.1.10, folgte am 6. August mit zusätzlichen Härtungsmaßnahmen.

Hotfix 3, Build 2026.3.1.13, wurde am 5. September veröffentlicht. Hotfix 4 folgte am 6. September.

Aufgrund dieser schnellen Abfolge können Administratoren nicht davon ausgehen, dass ein aktueller 2026.3-Hotfix automatisch bedeutet, dass ein Server geschützt ist. Die Build-Nummer muss direkt überprüft werden.

N-able macht widersprüchliche Angaben zur aktiven Ausnutzung

Der Status der Ausnutzung ist ungeklärt.

In den Veröffentlichungsunterlagen zu Hotfix 4 und einem Status-Update von N-able heißt es, eine externe Partei habe die Schwachstelle verantwortungsvoll über das Disclosure-Programm des Unternehmens gemeldet. In diesen Mitteilungen erklärt N-able, es gebe keine bestätigten Hinweise auf eine Ausnutzung in Produktivumgebungen.

Eine separate Meldung von N-able zu einem Sicherheitsvorfall zeichnet ein anderes Bild. Darin heißt es, ein unabhängiger dritter Sicherheitsforscher habe eine neue, nicht verwandte Schwachstelle gemeldet, deren Ausnutzung in freier Wildbahn beobachtet worden sei.

In der Meldung wird weder angegeben, wer die Angriffe beobachtet hat, welche Umgebungen betroffen waren, wann die Aktivitäten stattfanden noch wie die Ausnutzung verifiziert wurde. In der Dokumentation von N-able wird CVE-2026-86218 außerdem als „kritischer Zero-Day“ bezeichnet, ohne dass das Unternehmen erklärt, wie es diesen Begriff verwendet.

Der Vorfall war am 7. September 2026 weiterhin auf der Statusseite von N-able offen. Es wurde kein Bedrohungsakteur zugeordnet.

Huntress begann am 4. September mit der Untersuchung einer Kompromittierung, nachdem die vollständig gepatchte N-central-Produktivumgebung eines Kunden kompromittiert worden war. Die Forscher konnten eine Exploit-Kette gegen Build 2026.3.1.10 reproduzieren, an der möglicherweise eine oder beide später mit Hotfix 3 behobenen Schwachstellen beteiligt waren.

Allerdings waren die relevanten Appliance-Logs bereits rotiert. Huntress konnte daher nicht feststellen, ob CVE-2026-86218 Teil dieses Eindringens war.

Es gibt somit einen glaubwürdigen Grund, die Schwachstelle als unmittelbare Bedrohung zu behandeln. Öffentlich dokumentierte Belege für einen konkreten Angriff unter Verwendung dieser CVE liegen jedoch weiterhin nicht vor.

Frühere N-central-Schwachstellen wurden in CISA’s KEV-Katalog aufgenommen

Für CVE-2026-86218 wurde bislang keine Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen der US Cybersecurity and Infrastructure Security Agency gemeldet. Eine KEV-Frist für die Behebung ist für diese Schwachstelle nicht bekannt.

Mehrere aktuelle N-central-Schwachstellen wurden jedoch in den Katalog aufgenommen.

CVE-2026-18577, eine unvollständige Behebung, die einen Authentifizierungs-Bypass und die Übernahme von Konten ermöglichte, wurde am 3. August 2026 in den KEV-Katalog aufgenommen. Für Bundesbehörden galt eine Frist zur Behebung bis zum 6. August 2026. Die Schwachstelle betrifft N-central-Releases vor 2026.3 und hat einen CVSS-3.1-Score von 8,1.

CVE-2026-18556 wurde am 4. August 2026 aufgenommen; die Behebung war bis zum 7. August 2026 vorgeschrieben. Dieser Authentifizierungs-Bypass über einen alternativen Pfad betrifft N-central <= 2026.1 und hat einen CVSS-Score von 7,4.

Für beide Schwachstellen verlangt CISA Maßnahmen entsprechend den Anweisungen des Herstellers, der risikobasierten Patch-Vorgabe BOD 26-04 sowie den Anforderungen zur forensischen Triage.

Zwei frühere N-central-Probleme, CVE-2025-8875 und CVE-2025-8876, wurden am 13. August 2025 in den KEV-Katalog aufgenommen; für Bundesbehörden galt eine Frist bis zum 20. August 2025. Sie erhielten CVSS-Scores von 7,8 beziehungsweise 8,8. CISA wies Organisationen an, die Maßnahmen des Herstellers anzuwenden, die geltenden Cloud-Vorgaben aus BOD 22-01 zu befolgen oder das Produkt stillzulegen, falls keine Maßnahmen verfügbar waren.

Diese jüngere Entwicklung ist aus betrieblicher Sicht relevant: N-central wurde wiederholt über Schwachstellen angegriffen, die privilegierten Zugriff oder Codeausführung ermöglichen.

Zuerst patchen, dann nach dauerhaftem Zugriff suchen

Jede Organisation, die N-central On-Premises betreibt, sollte 2026.3 Hotfix 4 installieren und den Server damit auf Build 2026.3.1.14 aktualisieren. N-able stellt direkte Upgrade-Pfade bereit von:

• 2025.4
• 2026.1
• 2026.2
• 2026.3
• Vorhandenen 2026.3.1-Hotfix-Builds

Verwaltete Agents benötigen für CVE-2026-86218 kein Update. Das gehostete N-central Online, auch als NCOD bezeichnet, soll bereits gepatcht worden sein.

Falls eine sofortige Installation nicht möglich ist, sollten Administratoren den eingehenden Zugriff auf die Konsole über eine IP-Allowlist oder ein VPN einschränken. Ein über das Internet erreichbarer N-central-Server, der nicht zeitnah gepatcht werden kann, sollte vorübergehend aus dem Netzwerk entfernt werden.

Ein Patch bestätigt nicht, dass ein bereits exponiertes System sauber ist. Administratoren sollten N-central auf unbefugte Benutzer, unerwartete Kontoerstellungen und nicht erklärte Änderungen an Berechtigungen überprüfen.

Bei früheren Angriffen, die nach einem Eindringen am 31. Juli entdeckt wurden, nutzten die Angreifer administrativen Zugriff, um die Take Control-Funktion von N-central zu missbrauchen. Anschließend registrierten sie Cloudflare tunnel services auf verwalteten Endpunkten und konnten so den Zugriff aufrechterhalten, nachdem ihr Zugangsweg über N-central entfernt worden war.

Verteidiger sollten daher Folgendes überprüfen:

• Änderungen an Administrations- und Benutzerkonten;
• Take-Control-Aktivitäten auf verwalteten Endpunkten;
• Zugriffe auf interne N-central-APIs;
• Neue oder nicht autorisierte Cloudflare-Tunnel;
• Unerwartete Sitzungen zur Fernverwaltung;
• Verfügbare Server- und Appliance-Logs, bevor diese rotiert werden.

N-able hat keine CVE-spezifischen Indicators, keinen Workaround und keine detaillierten Erkennungsregeln veröffentlicht. Solange die widersprüchlichen Angaben zur Ausnutzung nicht geklärt sind, sollten Organisationen Build 2026.3.1.14 als sichere Mindestversion betrachten und Beweismittel sichern, bevor die normale Log-Aufbewahrung sie entfernt.