LONDON (IT BOLTWISE) – Angreifer haben nach einem nicht vollständig behobenen Fehler in N-able N-central Server übernommen und von dort aus verwaltete Endpunkte erreicht. Den Angaben zufolge nutzten sie Take Control, um Zugriff auf Systeme zu erlangen, und registrierten Cloudflare-Tunnel als Dienste auf den Geräten, damit die Erreichbarkeit nach Neustarts erhalten bleibt. N-able schließt die Lücke mit dem Build 2026.3.1.7, betont aber, dass frühere Upgrades auf 2026.3 nicht mehr als alleinige Maßnahme gelten. Besonders wichtig ist außerdem die Suche nach persistenter Tunnel-Installation auf betroffenen Endpunkten, da ein reines N-central-Upgrade Spuren auf anderen Maschinen nicht entfernt.
Bei N-able steht die Remote-Monitoring-und-Management-Plattform N-central erneut im Zentrum einer sicherheitsrelevanten Lage: Laut N-able konnten Angreifer zunächst eine Schwachstelle ausnutzen, um sich auf N-central-Servern eine Art administrativen Fernzugriff zu verschaffen. Von dort aus erreichten sie die Kundensysteme, die über diese Server verwaltet werden. Entscheidend ist dabei der Unterschied zwischen einem einzelnen Fix und der vollständigen Schließung des Angriffswegs: N-able räumt ein, dass die erste Korrektur nicht alle Wege abgedeckt hat und der anfängliche Patch daher nur als unvollständig gelten musste.
Technisch wird der Vorfall über zwei CVE-Einträge eingegrenzt: CVE-2026-18556 wird im eigenen CVE-Eintrag als „unauthenticated administrative account takeover“ geführt und als Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal klassifiziert (CWE-288). N-able ordnet beiden betroffenen Schwachstellen einen CVSS-Score von 8,2 (CVSS 4.0) zu und nennt als betroffene N-central-Versionen zunächst einen Bereich bis einschließlich 2026.1. Laut N-able wurde dieser Zugriffspfad in 2026.2 behoben, später aber ein alternativer Exploitweg entdeckt, der den damaligen Fix nicht blockierte. Aus diesem neuen Befund entstand CVE-2026-18577, das den betroffenen Builds-Umfang auf Versionen vor 2026.3.1.7 erweitert.
Der zeitliche Ablauf wird in der Mitteilung konkret: N-able habe am 2. August den Build 2026.3.1.7 als erste „unbeeinflusste“ Version ausgeliefert. Für Betreiber bedeutet das eine klare Priorisierung: Jede N-central-Installation soll auf 2026.3.1.7 gebracht werden, während das frühere Upgrade-Ziel „2026.3“ laut N-able allein nicht mehr ausreichend ist. Außerdem zeigt die Meldung einen wichtigen Praxisaspekt, der in Managed-Service-Umgebungen häufig übersehen wird: Hosted NCOD-Instanzen sollen laut N-able automatisch nach einem Zeitplan aktualisiert werden, der Partnern direkt kommuniziert wird, während Self-Hosted-Server vom Kunden selbst aktualisiert werden müssen.
Im Ablauf der Kompromittierung steckt eine Logik, die für IT-Teams besonders relevant ist, weil sie Persistenz außerhalb der zentralen Management-Instanz erzeugt. Nach dem Zugriff auf einen N-central-Server nutzten die Angreifer Take Control, um zu den verwalteten Endpunkten zu gelangen. Dort registrierten sie laut N-able Cloudflare tunnels als Dienste auf den Geräten. Dieser Schritt ist technisch so gewählt, dass keine eingehende Firewall-Regel und kein offener Listening-Port erforderlich sind, weil die Tunneling-Komponenten outbound zur Cloudflare-Edge verbinden. Läuft der Tunnel zudem als Service, bleibt er auch nach einem Neustart aktiv; N-able beschreibt außerdem, dass damit der Zugriff erhalten bleibt, obwohl der direkte Routing-Weg über die N-central-Instanz später entzogen wurde.
Damit verschiebt sich das Incident-Response-Profil für Administratoren: Ein Update von N-central ersetzt nicht automatisch das Entfernen der auf Endpunkten installierten Persistenz. N-able verweist darauf, dass Kunden, die Hinweise auf eine Kompromittierung finden, zusätzlich nach den bösartigen Tunnel-Diensten suchen und diese entfernen müssen. In der Untersuchung habe N-able am 31. Juli begonnen, nachdem auf On-Premises-Seiten „ungewöhnlich viele Lizenzfehler“ gemeldet wurden. Laut N-able sei dabei ein Angreifer identifiziert worden, der sich remote administrative Rechte auf Servern verschafft hatte, die 2026.1 oder älter liefen; eine genaue Zahl der betroffenen Kunden nannte N-able jedoch nicht.
Die öffentliche Sicherheitslage wird zusätzlich durch eine Einordnung einer finnischen nationalen Cybersecurity-Stelle im Rahmen einer Mitteilung vom 2. August gestützt: Dort heißt es, dass alle Versionen vor dem Notfall-Hotfix verwundbar gewesen seien. Parallel veröffentlichte N-able sechs IP-Adressen, die in den Angriffen beobachtet wurden. Welche IPs dabei eher zu „legitimen“ Nutzer-Networks passen, ist eine eigene Frage: Wie aus einer späteren Korrelation hervorgeht, wurden vier der in der Erstliste genannten Adressen als Exit-Nodes von Mullvad oder NordVPN beschrieben. Für die Praxis bedeutet das: IP-basierte Indikatoren helfen, aber sie sind allein selten beweiskräftig; stattdessen sollten UI-, Netzwerk- und Endpunkt-Logs zusammengeführt werden, um Muster zu erkennen, die zu Take-Control- oder Tunnel-Aktivität passen.
N-able empfiehlt als konkrete Prüfzeichen u. a. nach svchost.exe in Nutzer-„Documents“-Ordnern zu suchen, auf einen Dienst namens Cloudflared zu achten und Verkehr aus den genannten IP-Bereichen zu prüfen. Daneben fordert N-able dazu auf, bei entsprechenden Indikatoren den Support einzuschalten und die eigenen Security-Teams einzubinden. Auch eine andere Stelle meldete zunächst schnelllaufende Beobachtungen: In einer frühen Darstellung hieß es, es sei bei einer Organisation in der Kundenbasis Ausnutzung zu sehen gewesen, und es wurden drei Angreifer-Domains genannt. In einer nachgelieferten Klarstellung wird jedoch präzisiert, dass die Aktivität auf eine Self-Hosted N-central Instanz innerhalb eines Partnerkontos zurückging, in dem die Angreifer neun Organisationen erreichten und jeweils einen Endpunkt ansteuerten.
Was die Post-Compromise-Phase betrifft, bleibt die Lage vergleichsweise eng beschrieben: Die Beobachter fanden demnach vor allem Hinweise auf das Auflisten laufender Prozesse auf den Endpunkten, bevor die Angreifer sich wieder trennten. Gleichzeitig wird die Suche nach weiteren Indikatoren und nach typischen Angreifer-Tradecraft fortgesetzt. Interessant ist außerdem der Abgleich zur Cloudflare-Installation: Laut dieser Klarstellung wurde die Installation von Cloudflare-Komponenten nicht in der Weise gesehen, wie N-able sie in der ursprünglichen Kundenmitteilung beschrieben hatte. Für Verdachtsfälle rund um unerlaubte Take-Control-Aktivität wird empfohlen, insbesondere ui_access_control.log zu prüfen und mit Windows-Logs wie C: \ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz abzugleichen. Diese Logs treten auch bei legitimer Take-Control-Nutzung auf, daher gilt: Präsenz ist noch kein Beweis. Zusätzlich wird als Indikator eine Suche nach Sitzungen empfohlen, die mit scheinbaren N-able-Support-Identitäten zusammenhängen, etwa mit [email protected]. N-able hat nach der vorliegenden Darstellung noch keine Details zu betroffenen Kunden, betroffenen Endpunkten, Beginn der Ausnutzung, Hintergründen zur Tätergruppe oder dazu veröffentlicht, ob Daten abgegriffen wurden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angreifer übernehmen N-able N-central: CVE-2026-18556 und -18577 im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angreifer übernehmen N-able N-central: CVE-2026-18556 und -18577 im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angreifer übernehmen N-able N-central: CVE-2026-18556 und -18577 im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!