Im Zentrum der Warnung steht CVE-2026-18577, eine Schwachstelle zur Umgehung der Authentifizierung in N-central. Nach Angaben von N-able ist sie das Ergebnis eines unvollständigen Patches für CVE-2026-18576. Diese frühere Lücke beschrieb der Hersteller als „Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal“ und ordnete sie allen N-central-Versionen bis einschließlich 2026.1 zu. Beide Schwachstellen konnten demnach zur Übernahme administrativer Konten ausgenutzt werden.
Der jetzt veröffentlichte Hotfix 2026.3.1.7 soll das Problem beheben. N-able betont, dass alle Kunden den neuen Stand umgehend einspielen sollten. Für gehostete Bereitstellungen ist das Update bereits erfolgt, bei lokal betriebenen Instanzen ist eine manuelle Installation erforderlich.
N-central ist die zentrale Remote-Monitoring- und -Management-Plattform von N-able. Sie wird von Managed Service Providern und IT-Abteilungen in Unternehmen eingesetzt, um große Gruppen von Multi-OS-Systemen und Netzwerkgeräten zu verwalten. Gerade diese Rolle macht erfolgreiche Angriffe auf solche Server besonders heikel, weil Angreifer ihre Aktivitäten über die unmittelbare Kundenumgebung hinaus ausdehnen können.
Dass RMM- und MSP-Plattformen im Fokus stehen, ist nicht neu. Der Quelltext verweist darauf, dass N-central bereits im vergangenen Jahr Ziel von Zero-Day-Angriffen war, woraufhin CISA eine dringende Warnung veröffentlichte. In der Vergangenheit wurden zudem andere prominente RMM- und MSP-Plattformen kompromittiert, darunter Kaseya VSA, ConnectWise ScreenConnect, SimpleHelp und SolarWinds Orion.
Technische Details zur aktuellen Schwachstelle hält N-able bislang zurück. Der Hersteller hat weder nähere Informationen zur Funktionsweise von CVE-2026-18577 veröffentlicht noch Zahlen dazu genannt, wie viele Kunden ins Visier geraten oder tatsächlich kompromittiert wurden.
Immerhin stellt N-able auf der Download-Seite des Hotfixes Kompromittierungsindikatoren bereit. Dazu zählen vier konkrete IP-Adressen, ein registrierter Dienst namens „Cloudflared“ sowie „svchost.exe“ im Dokumentenordner von Benutzern. Werden solche Hinweise entdeckt, sollen Kunden nach Angaben des Herstellers umgehend den N-able-Support kontaktieren und zugleich ihr eigenes Sicherheitsteam einbinden.
Der Hinweis auf Cloudflared ist dabei bemerkenswert. Der legitime Tunneling-Dienst von Cloudflare wird laut Quelltext von Angreifern häufig missbraucht, um ausgehende Tunnel einzurichten. So lassen sich kompromittierte Systeme nach außen exponieren oder per Fernzugriff erreichen, ohne eingehende Firewall-Ports öffnen zu müssen.
Für die Agenten selbst sieht N-able aktuell keinen sofortigen Aktualisierungsbedarf zur Entschärfung von CVE-2026-18577. Das Unternehmen empfiehlt das Update dennoch, um die neuesten Korrekturen und Funktionen zu erhalten. In seiner Statusmeldung fordert der Hersteller Kunden zudem nachdrücklich auf, ihre Umgebungen aufmerksam zu überwachen, und kündigt an, weitere Informationen so schnell wie möglich nachzureichen.