CISA beschreibt CVE-2026-18577 als Schwachstelle in N-able N-central, bei der eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal möglich ist. Dadurch lassen sich laut Behörde die Anmeldung umgehen und Konten in N-central übernehmen. N-able stuft die Lücke mit einem CVSS-Wert von 8,2 ein und hat sie mit Version 2026.3 HF1 geschlossen.

Besonders relevant ist, dass es sich laut N-able um eine unvollständige Fehlerbehebung für die bereits bekannte Schwachstelle CVE-2026-18556 handelt, die denselben CVSS-Wert von 8,2 trägt. CISA reagierte auf Berichte über aktive Ausnutzung der Lücke und nahm sie deshalb in den KEV-Katalog auf.

Nach Darstellung von CISA kann eine erfolgreiche Attacke Angreifern administrativen Fernzugriff auf verwundbare N-central-Server verschaffen. Von dort aus können sie die eingebaute Funktion Take Control nutzen, um sich auf verwaltete Endpunkte weiterzubewegen und Persistenzmechanismen zu platzieren.

N-able hat nach eigenen Angaben Indikatoren für Kompromittierungen veröffentlicht. Konkret berichtete Huntress von beobachteten Angriffen gegen die Schwachstelle in mehreren Organisationen. Zugleich betonte das Unternehmen, es gebe bislang keine Hinweise darauf, dass sich daraus bereits eine breite und wahllose Angriffswelle entwickelt habe.

Zu den beobachteten Mustern nach erfolgreicher Ausnutzung zählt laut Huntress in mindestens einem Fall eine bösartige Verbindung über „MSP Support“, einen Standard-Benutzernamen, der mit legitimen N-Central-Take-Control-Sitzungen verknüpft ist. Die Verbindung kam von der IP-Adresse 173.249.252[.]200. Zudem erklärte Huntress, alle zuvor genannten vier IP-Adressen seien VPN-Ausgangsknoten von Mullvad oder NordVPN.

Auffällig sei insbesondere umfangreicher Datenverkehr mit 87.249.138[.]34, den Huntress direkt NordVPN zuordnet, sowie mit 37.19.210[.]32, das direkt Mullvad VPN zugerechnet werde. Nach Angaben von Huntress wurde 37.19.210[.]32 bereits vor diesem Vorfall für Brute-Force-Angriffe, Spam und andere bösartige Aktivitäten missbraucht.

Zur Größenordnung der Angriffe hat N-able bislang keine weiteren Einzelheiten veröffentlicht. Das Unternehmen bestätigte aber, dass eine „begrenzte Zahl von Kunden“ über CVE-2026-18577 kompromittiert wurde. Eine öffentliche Zuordnung der Aktivitäten zu einem bekannten Bedrohungsakteur oder einer Gruppe gibt es derzeit nicht.

Für Behörden der Federal Civilian Executive Branch empfiehlt CISA angesichts der aktiven Ausnutzung, die Updates bis zum 6. August 2026 einzuspielen und die N-central-Take-Control-Aktivitäten in ihren Umgebungen zu überprüfen. Die aktuelle Ausnutzung folgt fast genau ein Jahr auf zwei weitere Schwachstellen in demselben Produkt, CVE-2025-8875 und CVE-2025-8876, die damals in begrenzten Angriffen auf lokale Umgebungen als Angriffswaffe eingesetzt wurden.