N-able reagiert mit einer zweiten Runde von Hotfixes auf die laufende Ausnutzung einer Schwachstelle in N-central. Das Unternehmen erklärte, es erweitere die Schutzmaßnahmen proaktiv als Reaktion auf die fortlaufende Beobachtung von Angreifern, die ihre Techniken weiterentwickeln. Dabei betont N-able ausdrücklich, dass es sich nicht um eine Wiederholung der früheren Mitteilung handelt: Hotfix 2 sei erforderlich, selbst wenn Hotfix 1 bereits eingespielt wurde.

Im Zentrum steht CVE-2026-18577 mit einem CVSS-Wert von 8,2. Nach Angaben von N-able betrifft die Lücke alle Versionen vor 2026.3.1.7. Die Entdeckung geht auf ungewöhnliche Aktivitäten in der Umgebung eines Kunden am 31. Juli 2026 zurück. Im Zuge der Untersuchung stellte das Unternehmen fest, dass unbekannte Angreifer die damals noch als Zero Day geführte Schwachstelle im N-central-Server ausnutzten.

Besonders brisant ist der Zusammenhang mit CVE-2026-18556, ebenfalls mit einem CVSS-Wert von 8,2. Laut N-able handelt es sich bei CVE-2026-18577 um eine unvollständige Behebung dieser früheren Schwachstelle. Beide Lücken ermöglichen in anfälligen Versionen eine Umgehung der Authentifizierung und die Übernahme von Konten. Die U.S. Cybersecurity and Infrastructure Security Agency, kurz CISA, führt beide Schwachstellen als aktiv ausgenutzt.

Wie N-able die beobachteten Angriffe beschreibt, verschaffte die Lücke den Angreifern aus der Ferne administrativen Zugriff. Anschließend nutzten sie die Funktion Take Control, um sich mit Systemen innerhalb der von N-central verwalteten Umgebung zu verbinden. Nachdem sie diese Geräte erreicht hatten, registrierten die Angreifer einen neuen Dienst für einen Cloudflare Tunnel. Dadurch blieb der Zugriff auch dann bestehen, wenn der Zugang zum N-central-Server wieder entzogen wurde.

N-able hat bestätigt, dass eine begrenzte Zahl von Kunden von der Ausnutzung betroffen ist. Kunden mit einer lokal betriebenen Version von N-central sollen ihre Instanzen umgehend auf Version 026.3.1.10 aktualisieren. Zudem hat das Unternehmen eine erweiterte Liste von IP-Adressen als Kompromittierungsindikatoren veröffentlicht.

Ergänzend stellt N-able eine benutzerdefinierte Service-Vorlage bereit, mit der sich bekannte Kompromittierungsindikatoren automatisiert auf Windows-Endpunkten prüfen lassen, die in N-central eingebunden sind. Zugleich schränkt das Unternehmen die Aussagekraft eines unauffälligen Ergebnisses ein: Ein sauberer Befund sei keine Garantie dafür, dass die eigene Umgebung nicht betroffen sei. Die Untersuchung dauere an, und im Laufe der Zeit könnten weitere Indikatoren identifiziert werden. N-able empfiehlt deshalb, die Vorlage nur als einen Baustein der Bewertung zu verwenden und sie mit einer gründlichen Prüfung der eigenen Umgebung, Protokolle und Kontoaktivitäten zu kombinieren.