Betrifft Sie das?
- Betroffen: IT-Teams und Managed Service Provider (MSPs), die N-central betreiben, gehostet oder on-premises – und jedes Unternehmen, dessen IT-Dienstleister seine Rechner darüber verwaltet.
- Nicht betroffen, wenn: weder Sie noch Ihr IT-Dienstleister N-central nutzen.
Was zu tun ist
- N-central on-premises: Nehmen Sie den Server sofort vom Netz und lassen Sie ihn aus, bis N-able sagt, dass es sicher ist – so rät es N-able.
- Gehostetes N-central: Es ist bereits abgeschaltet; N-able hat alle vier Stunden ein Status-Update zugesagt.
- Kein eigenes N-central, aber ein externer IT-Dienstleister: Fragen Sie ihn heute noch schriftlich, mit welchem RMM-Tool er auf Ihre Rechner zugreift, und falls es N-central ist, ob er es abgeschaltet und die Anmeldungen seit dem 8. November geprüft hat.
- Suchen Sie nach Einbruchsspuren seit dem 8. November: unerwartete Anmeldungen an N-central, neue Administratorkonten, darunter ein aktiviertes Konto „Default Administrator“, unbekannte Fernsitzungen und Skripte, die an verwaltete Rechner verteilt wurden (Huntress, BleepingComputer). Finden Sie etwas, gehen Sie davon aus, dass auch die verwalteten Netze betroffen sein können.
- Nicht: den Server wieder einschalten, bevor N-able den Fix ausliefert und Entwarnung gibt. Die Hotfixes vom August und September beheben andere Lücken (Huntress).
Was wir wissen – und was nicht
- Zu den gemeldeten Lücken gehören Umgehung der Authentifizierung, Offenlegung von Zugangsdaten, beliebiges Schreiben von Dateien, Path Traversal, XSS, XXE und Remote Code Execution. Die Kette, die der Forscher für die schlimmste hält, beginnt mit einer XXE-Lücke ohne Anmeldung und endet mit der Ausführung von Befehlen auf dem Server und einem Konto „Default Administrator“ mit Zugangsdaten des Angreifers (BleepingComputer, über Mezha).
- Huntress und RuntimeWire zählen 33 Lücken; laut Huntress bilden sie vier Exploit-Ketten, drei davon enden in Remote Code Execution, eine in Root-Rechten. Mezha spricht unter Berufung auf BleepingComputer von „mehr als 30“.
- Der Forscher hat N-central Appliance 2026.4.0.31 getestet und geht davon aus, dass die meisten oder alle Lücken auch ältere Versionen betreffen.
- BleepingComputer hat nicht jede gemeldete Lücke überprüft, N-able hat aber bestätigt, dass es an einem dringenden Fix arbeitet.
- N-able sagt, es habe weder aktive Ausnutzung noch unbefugten Datenzugriff festgestellt. Einen Termin für den Fix oder den Neustart hat es nicht genannt.
Warum es wichtig ist
Ein RMM-Server kann auf jedem verwalteten Rechner Befehle ausführen – ein gehackter Server kann also viele gehackte Kunden bedeuten. Im September hat N-able eine andere N-central-Lücke, CVE-2026-86218, gepatcht, die Angreifer bereits ausnutzten; laut Huntress verteilten sie Skripte und Tools in verwaltete Netze. Unser Rat: Fragen Sie Ihren Dienstleister, welches Fernwartungstool auf Ihre Rechner zugreift – egal welches es ist.