N-central: N-able veröffentlicht kritisches Update, nachdem Exploits für seine RMM-Plattform öffentlich wurden

Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.

N-able hat N-central 2026.4 HF2 veröffentlicht, ein kritisches Update gegen sieben CVEs, nachdem ein Forscher Exploit-Code für die Fernverwaltungsplattform publiziert hatte. Der Hersteller beobachtet Scans und rät, On-Premises-Server vom Internet zu trennen, bis Build 2026.4.1.26 läuft.

Was passiert ist

Am 9. November 2026 veröffentlichte ein Forscher Details und Proof-of-Concept-Exploits zu einer Reihe von Schwachstellen in N-central, der RMM-Plattform (Remote Monitoring and Management) von N-able, mit der viele IT-Dienstleister die Arbeitsplätze und Server ihrer Kunden verwalten. Laut The Hacker News geht es um mehr als 30 Lücken unter dem Namen Able2Shell; N-able habe die gehostete Umgebung kurzzeitig vom Netz genommen und On-Premises-Kunden aufgefordert, ihre Server abzuschalten. N-able erklärt, die Lücken seien nicht über die üblichen Meldewege eingegangen.

Am 10. November veröffentlichte N-able N-central 2026.4 HF2 (Build 2026.4.1.26) als kritisches Sicherheitsupdate. Es behebt sieben CVEs, darunter OGNL-Injections (CVE-2026-125878, CVSS v4 8,7), Codeausführung per Path Traversal beim Datei-Upload ins Repository (CVE-2026-125882, 8,6), XXE, SSRF, Stored XSS und zwei lokale Rechteausweitungen, eine davon bis root. In einem Beitrag vom 11. November erklärt N-able, alle ohne Authentifizierung ausnutzbaren Lücken seien behoben; die übrigen erfordern ein Konto, oft mit erhöhten Rechten, und folgen in weiteren Hotfixes.

Wer gefährdet ist

Alle N-central-Server vor 2026.4.1.26, vor allem aus dem Internet erreichbare On-Premises-Server. N-able meldet Scans im Zusammenhang mit dem veröffentlichten Exploit-Code und keine Anzeichen einer Kompromittierung auf den gehosteten Servern, die aktualisiert und wieder online sind; für On-Premises-Installationen gibt es keine Aussage. Am 12. November prüfte N-able laut The Hacker News eine neue Veröffentlichung gegen HF2, die nach erster Analyse eine aktivierte und ins Internet exponierte Legacy API voraussetzt, was nicht der Standardeinstellung entspricht.

Was jetzt zu tun ist

1. Internetzugang des N-central-Servers kappen, bis er aktualisiert ist, wie von N-able empfohlen.
2. Auf 2026.4.1.26 aktualisieren; Server vor 2025.4 müssen zuerst auf eine unterstützte Version.
3. Erst die Agents, dann die Probes aktualisieren, gehostet wie On-Premises.
4. Prüfen, dass die Legacy API deaktiviert ist oder zumindest nicht aus dem Internet erreichbar.
5. Konten und Logs seit dem 9. November prüfen: unbekannte Administratoren, unerwartete Uploads ins Datei-Repository, auf Endgeräte verteilte Skripte.
6. Wenn ein Dienstleister Ihre Geräte mit N-central verwaltet, fragen Sie schriftlich nach Build-Stand und Erreichbarkeit der Konsole.

Hinweis: HF2 deaktiviert vorübergehend die integrierte Fernsteuerung; Take Control funktioniert weiterhin.

Unsere Einschätzung

Eine RMM-Konsole kann Code auf jedem verwalteten Gerät ausführen: Wer sie übernimmt, erreicht auf einen Schlag alle Unternehmen dahinter. Sie gehört hinter ein VPN oder eine IP-Allowlist, nie offen ins Internet, und ihre Updates verdienen dieselbe Dringlichkeit wie die einer Firewall.

Quellen

• N-able — Update on N-central 2026.4 HF2 and ongoing security response
• N-able Status — N-central 2026.4 HF2 Release Notes
• CVE Program — CVE-2026-125878, Multiple OGNL Injection vulnerabilities
• The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits
• The Hacker News — New N-central Exploits Work Against Patched Servers

Wie wir unsere Analysen auswählen, prüfen und schreiben →