Der Softwarehersteller N-able hat einen dringenden Sicherheits-Patch für seine Fernwartungs- und Monitoring-Plattform N-central bereitgestellt. Mit der Veröffentlichung des Hotfixes 2026.3.1.10 reagiert das Unternehmen auf eine kritische Schwachstelle im Authentifizierungsprozess, die bereits aktiv für Angriffe auf IT-Infrastrukturen genutzt wird.
Schwachstelle ermöglicht administrativen Zugriff
Die als CVE-2026-18577 klassifizierte Sicherheitslücke weist einen Schweregrad von 8.2 auf der CVSS-Skala auf. N-able bestätigte, dass Angreifer diese Schwachstelle ausnutzten, um unbefugten Administrator-Zugriff auf N-central-Instanzen zu erlangen. Betroffen sind alle Versionen vor 2026.3.1.7, wobei das Risiko gleichermaßen für On-Premises-Installationen wie für Cloud-Instanzen besteht.
Besondere Dringlichkeit erhält das Update durch die Tatsache, dass ein vorangegangener Patch-Versuch nicht den gewünschten Erfolg brachte. Die Versionen 2026.2 beziehungsweise 2026.3.1.7 stellten sich als unzureichend heraus, um die Sicherheitslücke vollständig zu schließen. Das Unternehmen wies darauf hin, dass die Installation des neuesten Hotfixes 2026.3.1.10 auch dann zwingend erforderlich ist, wenn Systeme bereits auf dem Stand des ersten Hotfixes waren.
Persistenz durch Cloudflare Tunnel
Nachdem sich Angreifer über die Authentifizierungs-Bypass-Lücke Zugang verschafft hatten, weiteten sie ihre Aktivitäten nach vorliegenden Erkenntnissen massiv aus. Über die integrierte Funktion „Take Control“ gelang es den Akteuren, Zugriff auf verwaltete Systeme und damit verbundene Kundennetzwerke zu erhalten.
Der Fall zeigt eindringlich, wie schnell IT-Infrastrukturen durch Sicherheitslücken verwundbar werden. Ein kostenloser Report hilft Unternehmern nun dabei, die neuesten Cyberbedrohungen sowie gesetzliche Anforderungen besser zu verstehen und proaktiv gegenzusteuern. Jetzt Gratis-Report zu Cyber Security Trends anfordern
Um den Zugriff auch nach einer möglichen Entdeckung dauerhaft zu sichern, setzten die Angreifer auf moderne Persistenz-Methoden. Berichten zufolge wurden Cloudflare Tunnel installiert. Diese Technik ermöglichte es den Angreifern, die Verbindung zu den kompromittierten Systemen aufrechtzuerhalten, selbst nachdem der ursprüngliche administrative Zugang zum Server durch die Betreiber widerrufen worden war.
Behörden setzen kurze Fristen für Gegenmaßnahmen
Die Tragweite der Sicherheitslücke veranlasste die US-Cybersicherheitsbehörde CISA dazu, CVE-2026-18577 in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufzunehmen. Für US-Bundesbehörden wurde eine verbindliche Frist bis zum 6. August 2026 gesetzt, um die betroffenen Systeme abzusichern. In diesem Zusammenhang verwies die CISA zudem auf eine weitere Schwachstelle (CVE-2026-18556), die ebenfalls einen CVSS-Wert von 8.2 aufweist und aktiv für Angriffe genutzt werde.
Da immer mehr Unternehmen zur Zielscheibe komplexer Angriffe werden, ist eine strukturierte Absicherung wichtiger denn je. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken effektiv schließen und Ihr Unternehmen ohne hohe Investitionen langfristig schützen können. Kostenloses E-Book für IT-Sicherheit herunterladen
Über den Umfang der Vorfälle liegen unterschiedliche Angaben vor. Während N-able erklärte, dass lediglich eine begrenzte Anzahl von Kunden direkt betroffen sei, berichtete der Sicherheitsdienstleister Huntress von mindestens neun betroffenen Organisationen. Zur Unterstützung der IT-Sicherheitsteams bei der Identifizierung möglicher Kompromittierungen hat N-able zehn IP-Adressen als Indikatoren für einen Angriff (Indicators of Compromise, IoC) zur Verfügung gestellt.
N-able fordert alle Anwender der Software N-central nachdrücklich auf, das Update auf die Version 2026.3.1.10 unverzüglich einzuspielen, um die bestehende Sicherheitslücke zu schließen und weitere Fernzugriffe durch Unbefugte zu unterbinden.
