Die Schwachstelle CVE-2026-86218 betrifft jeden N-central-Build vor 2026.3.1.14. Damit sind auch Systeme angreifbar, die erst kurz zuvor Hotfix 3 erhalten hatten — dieser war laut N-able etwas mehr als acht Stunden früher für zwei Fehler erschienen, die mit der neuen Lücke nichts zu tun haben.
Release Notes, Statusmeldung und Störungsmitteilung enthalten weder Kompromittierungsindikatoren noch eine Zwischenlösung oder Hinweise zur Erkennung. Die einzige Empfehlung lautet, die N-central-Benutzerkonten auf unerwartete Nutzer zu prüfen.
Huntress, das Angriffe auf N-central seit August verfolgt, rät Administratoren, den Zugriff auf die Konsole per IP-Freigabeliste oder VPN einzuschränken. Server, die weiterhin aus dem Internet erreichbar sind, sollten bis zur Installation des Hotfix nach Möglichkeit vom Netz genommen werden.
Bei der Frage der Ausnutzung widersprechen sich die Kanäle des Herstellers. Release Notes und Statusbeitrag zu Hotfix 4 halten fest, ein Dritter habe die Lücke verantwortungsvoll über das Offenlegungsprogramm gemeldet, und N-able habe “keine Bestätigungen, dass diese Schwachstelle in Produktionsumgebungen ausgenutzt wurde”. Dieselben Release Notes bezeichnen sie zugleich als “kritische Zero-Day-Schwachstelle”, ohne den Begriff zu definieren.
Deutlich anders klingt die Störungsmeldung auf der Uptime-Statusseite: Dort heißt es, ein dritter, unabhängiger Sicherheitsforscher habe auf eine neue, von den bisherigen CVEs unabhängige Lücke hingewiesen, und diese sei — anders als die vorherigen — “bei Angriffen in freier Wildbahn beobachtet worden”. Wer die Ausnutzung beobachtet hat, wo und wann, bleibt offen; eine Zuordnung zu einem Akteur nimmt N-able nicht vor. Am 7. September war der Vorfall auf der Statusseite noch als offen gelistet, wie der Statusseiten-Aggregator IsDown spiegelt. The Hacker News hat N-able um Klärung gebeten, welche Aussage aktuell ist und welche Belege für Angriffe vorliegen.
Huntress kann die Frage aus eigenen Daten nicht beantworten. Das Unternehmen begann am 4. September mit Untersuchungen, nachdem die vollständig gepatchte N-central-Produktionsumgebung eines Kunden kompromittiert worden war. Gegen Build 2026.3.1.10 habe man eine Exploit-Kette als Proof of Concept nachgebaut, die möglicherweise einen oder beide der später mit Hotfix 3 behobenen Fehler nutzt. Da die Protokolle der Appliance bereits rotiert waren, sei man “nicht in der Lage zu sagen, ob diese neue CVE die bei dem Einbruch ausgenutzte Schwachstelle war”.
Es ist der vierte Hotfix für die 2026.3-Linie seit dem 2. August und der dritte eigene Satz von Schwachstellen. Die beiden Hotfix-3-Lücken beschrieb N-able als hoch bewertete Fehler, über die Unbefugte Authentifizierungskontrollen umgehen und vollen Zugriff auf die Plattform erlangen könnten. In den eigenen CVE-Einträgen wird CVE-2026-86207 mit 7.7 (hoch) und CVE-2026-86206 mit 6.9 (mittel) bewertet; Bestätigungen für Angriffe lagen dem Hersteller nicht vor.
Den August-Hotfixes war ein Einbruch vorausgegangen, den N-able am 31. Juli entdeckte. Angreifer erlangten über eine Authentifizierungsumgehung administrativen Zugriff auf N-central-Server, nutzten die Funktion Take Control, um verwaltete Endpunkte zu erreichen, und registrierten dort Cloudflare-Tunnel-Dienste — so behielten sie Zugang, nachdem der Weg über N-central gekappt war. Laut N-able war eine begrenzte Zahl von Kunden betroffen, der erste Fix erwies sich als unvollständig, und die US-Behörde CISA nahm beide CVEs in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Am 10. August kündigte das Unternehmen eine vollständige Ursachenanalyse an.
Es ist der zweite Sommer in Folge, in dem N-central Angriffe anzieht: Im August 2025 wurden CVE-2025-8875 und CVE-2025-8876 am selben Tag in den CISA-Katalog aufgenommen, an dem N-able die Korrekturen veröffentlichte.