Im Zentrum des Vorfalls stehen zwei Schwachstellen: CVE-2026-18556 und CVE-2026-18577. N-able führte beide CVEs selbst und bewertete sie jeweils mit 8,2 nach CVSS 4.0. Die erste Lücke, CVE-2026-18556, bezeichnet das Unternehmen in seinem eigenen CVE-Eintrag als „Übernahme eines administrativen Kontos ohne Authentifizierung“ und klassifiziert sie als Authentifizierungsumgehung über einen alternativen Pfad oder Kanal nach CWE-288.
CVE-2026-18556 betrifft Releases bis einschließlich 2026.1. N-able erklärte, diesen Angriffsweg in Version 2026.2 geschlossen zu haben. Später stellte das Unternehmen jedoch fest, dass sich dieselbe Schwachstelle weiterhin über einen alternativen Weg ausnutzen ließ, den der erste Fix nicht blockierte. Daraus wurde CVE-2026-18577, wodurch sich der betroffene Versionsbereich auf alle Builds vor 2026.3.1.7 ausweitete.
Nach Angaben von N-able wurde Build 2026.3.1.7 als erste nicht anfällige Version ausgeliefert. Die frühere Anweisung, auf 2026.3 zu aktualisieren, reicht damit nicht mehr aus. Laut Hotfix-Hinweis werden gehostete NCOD-Instanzen automatisch nach einem Partnern direkt mitgeteilten Zeitplan aktualisiert. Bei selbst gehosteten Servern müssen Kunden das Upgrade selbst einspielen.
Der Hersteller begann nach eigenen Angaben am 31. Juli mit der Untersuchung, nachdem bei On-Premises-Kunden ein ungewöhnliches Volumen an Lizenzierungsfehlern aufgefallen war. Dabei stellte N-able fest, dass ein Angreifer aus der Ferne administrativen Zugriff auf Server mit Version 2026.1 und älter erlangt hatte. Das Unternehmen erklärte, eine begrenzte Zahl betroffener Kunden identifiziert und kontaktiert zu haben, nannte aber keine Zahl.
Nach der Server-Kompromittierung setzten die Angreifer laut N-able Take Control ein, um verwaltete Endpunkte zu erreichen. Zusätzlich wurden Cloudflare-Tunnel als Dienste auf den Geräten registriert. Diese Tunnel bauen ausgehende Verbindungen zum Edge-Netz von Cloudflare auf und benötigen deshalb weder eingehende Firewall-Regeln noch offene lauschende Ports. Weil sie als Dienste laufen, überstehen sie außerdem einen Neustart. N-able betonte, dass nichts in der Offenlegung auf eine Kompromittierung von Cloudflare hindeute; missbraucht worden sei der Tunneldienst.
Wichtig ist für betroffene Kunden laut N-able: Ein Upgrade von N-central entfernt keine Persistenz, die auf anderen Maschinen eingerichtet wurde. Wer Hinweise auf eine Kompromittierung findet, muss deshalb auch verwaltete Endpunkte aufspüren und von bösartigen Tunnel-Diensten bereinigen. N-able riet zudem dazu, nach svchost.exe in Dokumente-Ordnern von Benutzern, nach einem Dienst namens Cloudflared sowie nach Verkehr von den veröffentlichten IP-Adressen zu suchen und im Trefferfall Support und Sicherheitsteams einzuschalten.
Finnlands nationales Zentrum für Cybersicherheit erklärte in einem Hinweis vom 2. August, dass alle vor dem Notfall-Hotfix verfügbaren Versionen verwundbar gewesen seien. N-able veröffentlichte inzwischen sechs IP-Adressen, die bei den Angriffen beobachtet wurden. Huntress identifizierte später nach eigenen Angaben vier der zunächst von N-able genannten Adressen als Exit-Knoten von Mullvad oder NordVPN und empfahl, Treffer mit N-central-Benutzeroberflächen-, Netzwerk- und Endpunktprotokollen abzugleichen.
Huntress teilte in einer Schnellreaktion vom 3. August zunächst mit, Ausnutzung bei einer Organisation im eigenen Kundenbestand gesehen zu haben, und veröffentlichte drei Angreifer-Domains: mousears.synology[.]me, wagoosh.direct.quickconnect[.]to und who-ripped-one.direct.quickconnect[.]to. In einer E-Mail an The Hacker News präzisierte Huntress später, dass es sich um eine selbst gehostete N-central-Instanz innerhalb eines Partnerkontos gehandelt habe. Die Angreifer hätten neun Organisationen unter diesem Konto erreicht und jeweils einen Endpunkt pro Organisation angesprochen.
Nach dem bislang verfügbaren Stand beschränkte sich die Aktivität nach der Kompromittierung laut Huntress darauf, laufende Prozesse auf den Endpunkten aufzuzählen, bevor die Angreifer die Verbindung trennten. Huntress erklärte zugleich, die von N-able beschriebene Cloudflare-Installation bei diesem Fall nicht beobachtet zu haben. Für die Suche nach unautorisierten Take-Control-Aktivitäten empfahl das Unternehmen die Prüfung von ui_access_control.log und den Abgleich mit C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz auf Windows-Endpunkten. Diese Protokolle entstehen allerdings auch bei legitimer Nutzung von Take Control und sind für sich genommen kein Beweis für eine Kompromittierung.