CISA gibt der US-Regierung 72 Stunden Zeit, um aktiv ausgenutzte Schwachstelle im N-central von N-able zu beheben

Die Cybersecurity and Infrastructure Security Agency (CISA) fügte am 3. August die CVE-2026-18577 dem Katalog der Bekannten Ausgenutzten Verwundbarkeiten hinzu und gab den Bundesbehörden bis zum 6. August Zeit, den Patch anzuwenden. Es ist das zweite Mal in drei Monaten, dass eine Schwachstelle im N-central, einer Remote-Management-Plattform, die von Tausenden von Managed Service Providern (MSPs) verwendet wird, in die Liste aufgenommen wird.

Die Verwundbarkeit ist ein Authentifizierungs-Bypass mit einem CVSS-Score von 8.2 im Web-Interface von N-central. Ein Angreifer ohne Anmeldeinformationen kann administrative Berechtigungen auf dem Server erlangen und von dort aus die Funktion „Take Control“ missbrauchen, das legitime Tool, das das RMM verwendet, um auf die Endpunkte der Kunden zuzugreifen. Der kritische Punkt ist dieser Pivot: Wer den Server übernimmt, übernimmt auch die verwalteten Maschinen.

Rapid7 dokumentierte, dass Angreifer nach der Übernahme von Kontrolle den Cloudflare Tunnel (cloudflared) implementiert haben, um einen persistierenden und diskreten Zugriff aufrechtzuerhalten, eine Technik, die die meisten Ausgangskontrollen umgeht, da alles über HTTPS 443 zur Cloudflare-Infrastruktur läuft. Huntress, die Hunderte von MSPs bedient, veröffentlichte in demselben Zeitraum Indikatoren für Kompromittierungen und klassifizierte die Ausnutzung als opportunistisch, jedoch mit gezieltem Einsatz des „Take Control“-Flows zur Eindringung bei Endkunden.

Ein unvollständiger Patch wurde zur Eintrittskarte

Die Schwachstelle besteht, weil der vorherige Patch nicht alle Wege geschlossen hat. Die CVE-2026-18556, die im Juni offengelegt und in Version 2026.2 von N-central gepatcht wurde, behandelte den ursprünglichen Bypass-Vektor. Laut Analyse von N-able blieb jedoch ein alternativer Pfad offen, den CVE-18577 ausnutzt. Das Unternehmen veröffentlichte am 2. August den Hotfix in Version 2026.3 HF1 und empfahl Kunden, die ältere Versionen verwenden, auf 2026.3.1.7 zu migrieren.

Das Detail des unvollständigen Patches ist für den Unternehmenskäufer wichtig. Das bedeutet, dass ein Unternehmen, das den Fix von Juni angewendet hat, den Punkt möglicherweise als gelöst in seinem Schwachstellenprogramm markiert hat und dennoch weiterhin exponiert ist. Sicherheitsteams, die sich ausschließlich auf externe Scanner ohne Überprüfung nach einer Wiedereröffnung verlassen, verlieren oft diese Art von Offenlegungen.

Warum RMM das bevorzugte Ziel für Ransomware ist

N-central konzentriert den privilegierten Zugriff auf die Netzwerke von Kunden, die der MSP verwaltet, in einer einzigen Konsole. Einen verwundbaren N-central-Server zu kompromittieren, bedeutet praktisch, das gesamte Portfolio der Kunden dieses MSPs zu gefährden. Es war die gleiche Dynamik wie beim Angriff auf Kaseya VSA im Jahr 2021, die zwischen 800 und 1.500 Unternehmen mit Ransomware traf, nachdem eine einzige Lieferkette unterbrochen wurde.

Die Lesart für CIOs, die den Betrieb an einen MSP auslagern: vertraglich den Nachweis der Anwendung des 2026.3 HF1, den Hash der aktualisierten Binärdatei und den Nachweis, dass keine Indikatoren von Huntress oder Rapid7 in den aktuellen Protokollen erscheinen, verlangen.

Marktsicht

Die installierte Basis von N-central wird von den USA, dem Vereinigten Königreich und Deutschland dominiert, wo die Dichte von MSPs, die kleine und mittelständische Unternehmen bedienen, höher ist. Deshalb hat die CISA gehandelt, bevor europäische Regulierungsbehörden sich äußern konnten: Die Federal Civilian Executive Branch ist ein großer Kunde von akkreditierten MSPs, die die Plattform nutzen. Im Vereinigten Königreich hat das National Cyber Security Centre bereits Notfallrichtlinien für den MSP-Sektor zu früheren Vorfällen aus dieser Familienreihe veröffentlicht, und die Reaktion neigt dazu, dem amerikanischen Tempo zu entsprechen.

In Brasilien betrifft der Vektor einen Markt, der selten in die Nachrichten kommt: die regionalen MSPs, die Einzelhandelsnetze, Franchises, mittelständische Industrieunternehmen und Kliniken bedienen. Laut branchenspezifischen Daten von ISH Tecnologia, die in vierteljährlichen Berichten veröffentlicht werden, hat das Land über 800 aktive MSPs und ein jährliches Wachstum von zwei Dutzend Prozent bei der Auslagerung von IT-Betrieb. Die tatsächliche Exposition hängt von der installierten Version ab, aber das lokale Antwortmuster tendiert dazu, langsamer zu sein als das amerikanische aufgrund fehlender regulatorischer Mandate, die mit denen der CISA vergleichbar sind. Wer einen MSP in einem dieser Märkte engagiert, muss sich diese Frage heute stellen, nicht am Montag.

N-able hat öffentlich die Ausnutzung bestätigt und den Hotfix veröffentlicht. Die CISA hat die Aktivität in realen Umgebungen bestätigt, bevor sie die CVE in den KEV aufgenommen hat. Was noch nicht bekannt ist, ist die Anzahl der kompromittierten MSPs und wie viele Endkunden über sie betroffen sind. Solange diese Zählung nicht vorliegt, ist die konservative Hypothese für jeden CIO, der von einem Anbieter mit N-central abhängt, anzunehmen, dass eine Verpflichtung bis zum gegenteiligen Beweis besteht.