N-able warnt vor anhaltenden Angriffen auf N-central und liefert dafür Hotfix 2. Hintergrund ist eine Sicherheitslücke, die in einer Remote-Monitoring-and-Management-Umgebung (RMM) missbraucht wurde. Laut Hersteller wurde zudem ungewöhnliche Aktivität in einer Kundenumgebung entdeckt – ein Hinweis darauf, dass es Angreifern gelang, in verwaltete Systeme vorzudringen und dort Zugriff aufrechtzuerhalten.
Damit Sie die Auswirkungen der Angriffe möglichst schnell begrenzen, kommt es jetzt vor allem auf zwei Schritte an: Ihre N-central-Instanz aktualisieren und Indicators of Compromise (IoCs) gezielt prüfen.
Warum N-central Hotfix 2 jetzt relevant ist
N-able stellt klar, dass die neue Aktualisierung nicht nur eine Wiederholung früherer Hinweise ist. Hotfix 2 wird ausdrücklich auch dann benötigt, wenn bereits Hotfix 1 installiert wurde. Der Grund: Hotfix 2 übernimmt den Stand von Hotfix 1 und ergänzt zusätzliche Härtungsmaßnahmen, um die Umgebung von Kunden weiter zu schützen.
Das Unternehmen berichtet außerdem, dass es Bedrohungsaktivität beobachtet hat, die sich im Verlauf weiterentwickelt. Entsprechend baut N-able Schutzmechanismen proaktiv aus, anstatt ausschließlich auf die erste Reaktion zu setzen.
Betroffene Schwachstellen und betroffene Versionen
Die Meldung hängt mit einer kürzlich bekannt gewordenen Schwachstelle in der N-central-Serverkomponente zusammen. Als technische Grundlage nennt N-able CVE-2026-18577 mit einem CVSS-Score von 8,2. Laut Hersteller betrifft die Lücke alle Versionen vor 2026.3.1.7.
Zusätzlich ordnet N-able CVE-2026-18577 im Kontext einer weiteren Schwachstelle ein: CVE-2026-18577 soll sich auf eine unvollständige Absicherung von CVE-2026-18556 beziehen. Auch für CVE-2026-18556 wird ein CVSS-Score von 8,2 angegeben. Beide Schwachstellen ermöglichen in anfälligen Versionen einen Authentication Bypass sowie eine Übernahme von Konten.
Weiterhin hebt N-able hervor, dass die US-amerikanische CISA beide Lücken als aktiv ausgenutzt eingestuft hat.
So lief der Angriff laut N-able ab
Aus den Beobachtungen ergibt sich ein mehrstufiges Vorgehen. Zunächst konnten Angreifer die Schwachstelle nutzen, um sich administrativen Remote-Zugriff zu verschaffen. Danach setzten sie offenbar die Funktion „Take Control“ ein, um sich mit Systemen innerhalb der verwalteten N-central-Umgebung zu verbinden.
Nachdem die Angreifer Zugang zu betroffenen Geräten hatten, folgte ein weiterer Schritt zur Stabilisierung ihrer Position: Sie registrierten laut Bericht einen neuen Dienst für einen Cloudflare Tunnel. Dadurch sollen sie auch dann weiter erreichbar bleiben können, wenn der Zugriff auf den N-central-Server später wieder entzogen wird.
Wie viele Kunden betroffen sind
N-able bestätigt, dass es sich um eine begrenzte Anzahl von Kunden handelt, die von der Ausnutzung im Rahmen der beobachteten Aktivität betroffen waren. Der Hersteller spricht in diesem Zusammenhang von einer gezielten Untersuchung, die auf eine Auffälligkeit zurückgeht, die am 31. Juli 2026 in einer Kundenumgebung festgestellt wurde.
Wichtig für die Praxis: Auch wenn die Anzahl eingeschränkt ist, empfiehlt N-able ein strukturiertes Vorgehen. Denn Angreifer können Spuren hinterlassen, die ohne gezielte Prüfung unentdeckt bleiben.
Empfohlene Maßnahmen: Update und sofortige Version prüfen
N-able empfiehlt Kunden insbesondere, die On-Premise-Variante nutzen, ihre Instanzen umgehend zu aktualisieren. Konkret nennt der Hersteller als Zielversion 026.3.1.10.
Wenn Sie sich unsicher sind, welche Version Sie einsetzen, sollten Sie als erstes Ihre N-central-Version verifizieren und dann prüfen, ob Ihre Installation in den betroffenen Bereich fällt. Da N-able ausdrücklich festhält, dass frühere Hotfixes durch Hotfix 2 ersetzt werden, ist der Abgleich mit der aktuellen Empfehlung entscheidend.
IoCs prüfen: IP-Adressen als Indikatoren
Für die forensische und präventive Bewertung stellt N-able eine Liste von Indicators of Compromise (IoCs) bereit, die als Grundlage für Ihre Suche dienen kann. Dazu gehören die folgenden IP-Adressen:
- 173.249.252.176
- 173.249.252.200
- 185.156.46.150
- 23.234.94.43
- 37.153.90.88
- 37.19.210.32
- 68.235.46.214
- 68.235.46.235
- 87.249.138.34
- 92.118.112.181
Praktisch bedeutet das: Suchen Sie in Ihren Protokollen und Systemdaten nach Verbindungen zu diesen IPs und bewerten Sie die Ergebnisse zusammen mit weiteren Kontextinformationen (z. B. Zeitpunkt, betroffene Assets, Benutzeraktivitäten).
Automatischer IoC-Check für Windows-Endpunkte
Zusätzlich stellt N-able ein kundenspezifisches Service-Template bereit. Damit können Sie einen automatisierten Check auf bekannte IoCs gegen Windows-Device-Endpunkte in N-central ausführen.
Das Unternehmen betont jedoch klar, dass ein „sauberes Ergebnis“ nicht als vollständige Entwarnung zu verstehen ist. Auch dann kann es sein, dass Ihre Umgebung bereits betroffen war oder dass weitere Indikatoren später identifiziert werden. Die Empfehlung lautet deshalb: Kombinieren Sie den IoC-Check mit einer umfassenden Überprüfung von Umgebung, Logs und Kontenaktivität.
Warum Sie nicht nur auf den Hotfix setzen sollten
Die Veröffentlichung von N-central Hotfix 2 ist ein zentraler Bestandteil der Abwehr. Gleichzeitig zeigt der beschriebene Angriffsweg, dass Angreifer nach einem Einstieg zusätzliche Schritte einleiten können, um den Zugriff aufrechtzuerhalten. Dazu gehört im Bericht die Nutzung eines Cloudflare Tunnels als neue Persistenzkomponente.
Deshalb ist es sinnvoll, den Hotfix als technischen Grundschutz zu behandeln und parallel die Spurenlage zu prüfen. Besonders relevant sind dabei Logs, Kontenaktivitäten und ungewöhnliche Remote-Verbindungen, die über Zeiträume vor und nach dem Update hinweg analysiert werden sollten.
Fazit: Jetzt handeln mit N-central Hotfix 2
N-able reagiert auf eine fortgesetzte Ausnutzung von Schwachstellen in N-central und empfiehlt dringend die Installation von Hotfix 2. Das Update ist auch dann erforderlich, wenn Sie bereits Hotfix 1 verwendet haben, da Hotfix 2 zusätzliche Härtungsmaßnahmen liefert.
Ergänzen Sie das Update durch eine Versionsermittlung, die Suche nach den von N-able genannten IoCs sowie einen strukturierten Blick in Ihre Logs und Kontoaktivitäten. So senken Sie das Risiko, dass Angreifer unbemerkt weiterarbeiten oder über Persistenzmechanismen erreichbar bleiben.
Quelle: https://thehackernews.com/2026/08/n-central-attackers-reach-managed.html
