N-able machte die aktive Ausnutzung über seine Statusseite und in einem Blogbeitrag vom 2. August öffentlich. Dem Unternehmen zufolge fiel am 31. Juli ein Anstieg von Lizenzproblemen bei lokalen N-central-Kunden auf. Daraufhin nahm das Sicherheitsteam Ermittlungen auf und stellte am Morgen des 2. August fest, dass die zuvor behandelte Authentifizierungs-Umgehung CVE-2026-18556 noch einen weiteren Vektor enthielt, den ein Angreifer tatsächlich ausnutzte, um Administratorrechte auf verwundbaren N-central-Servern zu erlangen.
Laut dem Blogbeitrag nutzte der Angreifer nach der Kompromittierung die Funktion „Take Control“, um sich mit Systemen innerhalb der von N-central verwalteten Umgebung zu verbinden. Auf diesen Geräten registrierten die Täter anschließend einen neuen Dienst für einen CloudFlare-Tunnel. Dadurch blieb der Zugriff auf die Umgebung auch dann bestehen, nachdem der Zugang zum N-central-Server entzogen worden war.
N-ables Entwicklungsteam stellte daraufhin einen Fix für die nun als CVE-2026-18577 geführte Schwachstelle bereit. Kunden, die nicht die aktuelle N-central-Version einsetzen, sollen auf Version 2026.3.1.7 aktualisieren. Für gehostete Umgebungen wird die Korrektur automatisch eingespielt, bei lokalen Installationen ist eine manuelle Aktualisierung nötig. Nach Angaben von N-able wurde bislang eine „begrenzte Zahl von Kunden“ durch die Schwachstelle beeinträchtigt; das Support-Team habe diese Kunden direkt kontaktiert.
Huntress schrieb in einem Blogbeitrag vom 3. August, dass CVE-2026-18577 weiterhin aktiv ausgenutzt werde. Das Unternehmen hat nach eigenen Angaben bislang die Ausnutzung bei einer Organisation in seinem Kundenbestand beobachtet. Zugleich habe Huntress in „vielen Umgebungen“ gesehen, dass ein N-central-Server noch nicht auf Version 2026.3.1.7 aktualisiert worden sei.
Nach Angaben von Huntress sind inzwischen nahezu alle cloudgehosteten Server gepatcht. 13,6 Prozent der erreichbaren Server seien jedoch weiterhin ungepatcht; die Mehrheit davon entfalle auf selbst gehostete Installationen. Bei den erreichbaren selbst gehosteten N-central-Servern liege der Anteil ungepatchter Systeme bei 28,6 Prozent.
John Hammond, leitender Sicherheitsforscher bei Huntress, sagte gegenüber Dark Reading, die Telemetrie zeige bestätigte Aktivitäten nach erfolgreicher Ausnutzung in mehr als einer Partnerumgebung. Hinweise darauf, dass daraus bereits eine breite, wahllose Kampagne über die MSP-Basis hinweg geworden sei, gebe es bislang aber nicht. In den von Huntress analysierten Eindringversuchen nutze der Akteur den N-central-Zugang, um auf besonders wertvolle Server überzugehen, meist auf Domänencontroller. Dort werde sofort eine Prozessliste abgefragt, um laufende Dienste zu erfassen und die nächsten Schritte festzulegen.
Huntress weist zudem darauf hin, dass ein kompromittierter N-central-Server Skripte ausführen, Werkzeuge verteilen und Fernsitzungen über alle von ihm verwalteten nachgelagerten Endpunkte hinweg öffnen kann. Sowohl N-able als auch Huntress veröffentlichen in ihren Blogbeiträgen Kompromittierungsindikatoren. Zusätzlich zum Einspielen des Updates empfiehlt Huntress, die N-central-Umgebung zu härten, Anmeldungen, Konten und Konfigurationen auf Veränderungen außerhalb des normalen Betriebsverhaltens zu prüfen, Fernsteuerungsaktivitäten zu kontrollieren und zu bewerten, ob eine vorübergehende Deaktivierung von N-central angebracht ist.