Kritischer Fehler in N-central öffnet Administratortür für MSP-Server und wird zur Ketteninvasionswerkzeug

N-able veröffentlichte am Samstag, 2. August, das Hotfix 2026.3.1.7 für N-central, um die CVE-2026-18577 zu beheben, eine Authentifizierungs-Bypass-Sicherheitsanfälligkeit, die in der vorhergehenden Woche aktiv ausgenutzt wurde. Die Schwachstelle erlaubt es einem nicht authentifizierten entfernten Angreifer, jedes Konto zu übernehmen und das RMM-Console mit Administrationsrechten zu betreiben. Alles andere ergibt sich daraus: N-central ist das Kommandocenter von Tausenden von Managed Service Providers weltweit, und wer den Server übernimmt, kontrolliert alle damit verwalteten Endpunkte.

Der Patch ist der zweite der Serie. Die ursprüngliche CVE, die CVE-2026-18556, wurde im Juli behandelt, und der Hersteller glaubte, den Vektor geschlossen zu haben. Das war nicht der Fall. Forscher von Huntress identifizierten, dass die Korrektur unvollständig war und dass eine Variante desselben Bypass alle Versionen bis zur 2026.3.1, einschließlich der von N-able gehosteten und der On-Premises-Installationen, übernimmt. Die CVE-2026-18577 erhielt eine Notfallbehandlung: Das Unternehmen pushte das Hotfix 2026.3.1.7 für die gehosteten Mandanten und stellte das Paket für die On-Premises-Kunden mit der ausdrücklichen Aufforderung zur sofortigen Anwendung bereit.

Das Angriffsmuster

Die bereits von Vorfallreaktionsmitarbeitern beobachtete aktive Nutzung folgt einem erkennbaren Handbuch für Kettenintrusionen. Nachdem der Angreifer über den Bypass in die Konsole eingedrungen ist, nutzt er die legitime Funktion Take Control, um sich mit verwalteten Arbeitsstationen und Servern zu verbinden. Darüber hinaus registriert er Cloudflare-Tunnel als Dienste auf den kompromittierten Endpunkten, was eine persistente Netzwerkverbindung zur Cloudflare-Kante ermöglicht und einen Neustart übersteht. Das Ziel ist, eine zweite Zugangstür unabhängig von N-central zu schaffen, für den Fall, dass der Kunde die Eindringung entdeckt und die Konsole abschaltet. Es ist dasselbe Vorgehen, das in früheren Kampagnen gegen konkurrierende RMMs gesehen wurde, und es funktioniert, weil die Tunnel-Binärdatei signiert ist und der Ausgangsverkehr zu *.cloudflare.com in der Regel im Unternehmensumfeld selten standardmäßig blockiert wird.

Der Multiplikatoreffekt ist es, was die CVE-2026-18577 zu einem Ereignis mit einem Gewicht macht, das größer ist, als es der individuelle CVSS-Wert vorschlägt. Ein mittelgroßer MSP in Mitteleuropa verwaltet in der Regel zwischen 15.000 und 40.000 Endpunkten. In den Vereinigten Staaten verwalten große Betreiber, die mit Netzwerken wie CompTIA und Partnern des N-able-Ökosystems verbunden sind, Basen, die leicht über 100.000 Geräte pro Betreiber hinausgehen. In Brasilien bedient der Markt für verwaltete Dienste mittelgroße Banken, Einzelhandelsketten und staatliche Behörden unter Verwendung einer Kombination von RMM, die N-central, ConnectWise und Datto RMM umfasst, wobei die Konzentration auf wenige Anbieter hoch ist. Ein einzelner kompromittierter Server ist in der Praxis eine offene Einladung für Ransomware-Supply-Chain, dasselbe Modell, das REvil im Juli 2021 gegen die VSA von Kaseya verwendet hat und mehr als 1.500 Organisationen downstream traf.

Die Antwort von N-able

Die offizielle Anleitung auf der Statusseite des Herstellers lautet, sofort auf 2026.3.1.7 zu aktualisieren, den Zugriff auf die Konsole nur auf vertrauenswürdige Verwaltungsnetzwerke oder VPNs zu beschränken, obligatorisches MFA zu aktivieren und jegliche direkte Exposition gegenüber dem Internet, wenn möglich, zu entfernen. Das Unternehmen erkannte an, dass der vorherige Patch unvollständig war, und gab an, eine externe Überprüfung des Offenlegungsprozesses begonnen zu haben. Bis zum Abschluss dieses Artikels wurden keine Zahl der kompromittierten Server veröffentlicht, und Huntress hat ebenfalls keine öffentliche Zählung eröffnet, bestätigte jedoch, dass die Ausnutzung breit und nicht auf ein spezifisches Ziel gerichtet ist.

Die CISA hat die CVE-2026-18577 zum Zeitpunkt dieser Veröffentlichung noch nicht in den Katalog der bekannten ausgenutzten Sicherheitsanfälligkeiten aufgenommen. US-amerikanische Bundesbehörden, die N-central für vertraglich vereinbarte Dienste betreiben, werden einen kurzen Zeitraum haben, sobald die Aufnahme erfolgt, was typischerweise in einem Zeitfenster von 48 bis 72 Stunden geschieht, wenn Nachweise einer aktiven Ausnutzung durch den Anbieter gemeldet werden. Das britische NCSC und das deutsche BSI, die KMUs über nationale MSP-Kanäle beraten, neigen dazu, die Warnung in derselben Woche weiterzugeben.

Die betriebliche Lehre, die mühsam zu wiederholen ist, ist, dass Fernverwaltungswerkzeuge der Punkt mit der größten Hebelwirkung im modernen Perimeter sind. Sie wurden entworfen, um alles mit einer Anmeldedaten zuzugreifen, und genau dieses Merkmal macht sie zu einem priorisierten Ziel. Den Zugriff auf die Konsole für das offene Internet zu schließen, Hardware-MFA für das Support-Team durchzusetzen und nicht vorhergesehene Cloudflare-Tunnel zu überwachen, sollte in jedem Runbook stehen. Tut es nicht, und deshalb wird das nächste Bulletin eines kompromittierten MSP ähnlich aussehen wie dieses.