LONDON (IT BOLTWISE) – N-able berichtet, dass Angreifer über einen Authentifizierungs-Bypass in N-central zunächst Fernzugriff auf die Server erhielten und danach verwaltete Endpunkte über „Take Control“ übernahmen. Der erste Fix erwies sich als unvollständig: Der Patchstatus endet nicht bei 2026.3, sondern betrifft erst Version 2026.3.1.7 als nicht verwundbar. Laut Unternehmen müssen Kunden zudem bei kompromittierten Systemen bösartige Tunnel-Dienste entfernen, weil Upgrades keine Persistenz auf anderen Maschinen löschen. Finlands nationaler Cyber-Security-Support stuft alle Versionen vor dem Notfall-Hotfix als verwundbar ein.
Der IT-Betrieb rund um N-able N-central bekommt nach einer neu aufgedeckten Angriffswelle eine zusätzliche Sicherheitsaufgabe: Nicht nur die Server selbst, sondern auch die durch sie verwalteten Endpunkte geraten bei einem erfolgreichen Kompromiss aus dem Tritt. N-able beschreibt, dass Angreifer in N-central über einen Authentication-Bypass zunächst administrative Zugriffe aus der Ferne erlangten. Von dort aus nutzten sie Funktionen wie „Take Control“, um auf die Kundengeräte zuzugreifen, die normalerweise von Service Providern und IT-Teams über die zentrale Remote-Monitoring- und -Management-Plattform gesteuert werden.
Besonders kritisch ist dabei die Art der Aufrechterhaltung des Zugriffs. Nachdem die Angreifer einen N-central-Server übernommen hatten, registrierten sie Cloudflare-Tunnel als Dienste auf den betroffenen Endpunkten. Diese Tunnel starten ausgehend zur Cloudflare-Edge, wodurch typischerweise keine eingehende Firewall-Regel und kein offener Listening-Port nötig ist. Dadurch überleben die Zugriffswege auch Reboots, denn die Dienste laufen weiterhin, und N-able betont, dass die Tunnel den Zugriff bewahrt haben, selbst nachdem der direkte Route-Übergang über den kompromittierten N-central-Server deaktiviert oder entzogen wurde.
Der Patch- und Update-Plan ist damit deutlich strenger als in vielen früheren Fällen, in denen ein einziges Wartungsfenster als „fix“ galt. N-able benennt für das Problem eine erste Schwachstelle mit der Kennung CVE-2026-18556, die Builds bis einschließlich 2026.1 betrifft. Laut Unternehmen wurde dieser Pfad bereits in 2026.2 behoben, später jedoch eine alternative Ausnutzung gefunden, die die frühere Sperre nicht abdeckte. Diese alternative Variante erhielt CVE-2026-18577 und erweitert den betroffenen Bereich bis zu Builds vor 2026.3.1.7. N-able lieferte am 2. August mit 2026.3.1.7 die erste Version, die als nicht verwundbar gilt; ein Upgrade auf 2026.3 allein reicht nach Unternehmensangaben nicht mehr aus.
Auch die operative Einordnung bleibt anspruchsvoll, weil N-able nicht nur eine technische Lücke nennt, sondern zugleich beschreibt, wie die Aktivität nach der Kompromittierung konkret ablief. Der geschilderte Ablauf: Erst der administrative Zugriff auf N-central, dann Zugriff auf verwaltete Endpunkte über „Take Control“, anschließend das Installieren von Persistenz über Tunnel als Services. N-able sagt außerdem, dass der anfängliche Fix unvollständig war und dass bei kompromittierten Umgebungen ein reines Hochziehen der N-central-Version keine automatische bereinigende Wirkung auf die auf Endpunkten abgelegte Persistenz entfaltet. Genau deshalb lautet die Empfehlung, bei Indizien einer Kompromittierung nicht nur N-central zu aktualisieren, sondern die bösartigen Tunnel-Dienste von den verwalteten Geräten aktiv zu suchen und zu entfernen.
Als Trigger für die laufende Untersuchung nennt N-able ungewöhnliche Volumina an Licensing-Fehlern bei On-Premises-Kunden. Die Analyse begann am 31. Juli, als das Unternehmen eine Fernübernahme von Servern identifizierte, die Versionen 2026.1 und früher betreiben. Insgesamt nennt N-able keine Zahl zur Größe der betroffenen Kundenbasis, informiert aber, dass es eine begrenzte Anzahl betroffener Kunden direkt kontaktiert habe. Zusätzlich veröffentlicht N-able sechs IP-Adressen, die in den Angriffen gesehen wurden, und ordnet sie als Indikatoren ein, die Kunden mit Telemetrie aus N-central-UI, Netzwerk-Logs und Endpoint-Protokollen abgleichen sollen.
Für die Incident-Response liefert die Parallelbeobachtung durch Huntress weitere Details, ohne dabei die Ursachenanalyse auf Ebene des Exploit-Codes zu ersetzen. Huntress erklärte in einer späteren Klarstellung, dass die Aktivität einen selbst gehosteten N-central-Instanz-Betrieb innerhalb eines Partnerkontos betraf. In diesem Kontext seien neun Organisationen unter dem betreffenden Partner-Account erreicht worden, wobei in jeder Organisation jeweils ein Endpoint kontaktiert wurde. Huntress beschreibt die nach der Kompromittierung beobachtete Aktivität außerdem als begrenzt: Primär ging es zunächst um das Auflisten laufender Prozesse auf den Endpunkten, bevor die Angreifer wieder getrennt haben. Zugleich widerspricht Huntress der ursprünglichen Darstellung insofern, als nach deren Angaben keine Cloudflare-Installationsaktivität beobachtet wurde, die N-able in der ersten Benachrichtigung an Kunden beschrieben hatte.
Praktisch heißt das für Betreiber zweierlei: Erstens die schnelle Migration auf 2026.3.1.7, und zwar vollständig und konsequent – N-able weist darauf hin, dass gehostete NCOD-Instanzen in einem planbaren Zeitfenster automatisch aktualisiert werden, während selbst gehostete Server vom Kunden selbst aktualisiert werden müssen. Zweitens die gezielte Suche nach Persistenzindikatoren auf den Endpunkten, weil ein Upgrade von N-central allein nicht genügt. N-able nennt in diesem Zusammenhang als Suchsignale „svchost.exe“ in den Dokumentenordnern der Nutzer, einen Dienst namens „Cloudflared“ sowie Verkehr von den veröffentlichten IP-Adressen; zudem solle man bei Funden den Support kontaktieren und die eigenen Security-Teams einbinden. Ergänzend empfiehlt Huntress für Zeichen nicht autorisierten „Take Control“-Verhaltens den Abgleich von ui_access_control.log mit Windows-Logs wie C: ProgramDataGetSupportService_N-CentralLogsBASupSrvc_*.log.gz sowie die Prüfung für Sitzungen, die mit scheinbaren N-able-Support-Identitäten verknüpft sind. Für die Branche ist das ein Reminder, dass bei Remote-Management-Plattformen der Schutz nicht an der Perimeter-Grenze endet: Wenn ein Angreifer die Verwaltungskette übernimmt, verschiebt sich das Risiko auf Endpunkte, Tunnelmechanismen und die Spuren, die Persistenz nach Neustarts hinterlässt.
Für Unternehmen mit verwalteten Kundenendpoints wird damit auch der MLOps- und KI-nahe Betrieb indirekt betroffen, weil Sicherheitsereignisse häufig Datensätze, Modelle und Automatisierungen stören – nicht durch eine KI-Schwachstelle, sondern durch den Vertrauensbruch in die Systemlandschaft. Gerade deshalb sollten Security- und IT-Operations-Teams neben dem Updateprozess die Protokolldichte erhöhen und die „Trust Boundary“ zwischen Management-Server, Endpunkt und Kommunikationskanal neu bewerten. Die technischen Details der CVEs (CVE-2026-18556 und CVE-2026-18577) bleiben dabei bewusst auf der Ebene der Klassifikation, während N-able keine Code-Level-Root-Cause-Details veröffentlicht; für die schnelle Schadensbegrenzung zählen jedoch die konkreten Indikatoren, die Log-Korrelation und das Entfernen von Persistenz. Bis eine vollständige Risiko- und Auswirkungszahl vorliegt, bleibt der robuste Abgleich die zentrale Maßnahme: Wer die Versionen nicht nur „upgradet“, sondern auch die Tunnel-Dienste und Logging-Indizien prüft, reduziert die Chance, dass ein Remote-Management-Angriff in eine länger laufende Zugriffskette übergeht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "N-able warnt: Angriff übernimmt N-central-Server, Take Control und Cloudflare-Tunnel bleiben aktiv" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "N-able warnt: Angriff übernimmt N-central-Server, Take Control und Cloudflare-Tunnel bleiben aktiv" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »N-able warnt: Angriff übernimmt N-central-Server, Take Control und Cloudflare-Tunnel bleiben aktiv« bei Google Deutschland suchen, bei Bing oder Google News!