Der Fehler mit der Kennung CVE-2026-86218 erlaubt die Ausführung von Schadcode aus der Ferne, ohne dass Angreifer über Rechte auf dem System verfügen müssen. Betroffen sind über das Internet erreichbare N-central-Installationen; der Angriffsaufwand gilt als gering. N-able reagierte am Samstag mit N-central 2026.3 Hotfix 4.
“Zum jetzigen Zeitpunkt liegen uns keine Bestätigungen vor, dass diese Schwachstelle in Produktivumgebungen ausgenutzt wurde, ungepatchte Systeme bleiben jedoch gefährdet”, teilte das Unternehmen mit. Kunden mit lokal betriebenen N-central-Installationen sollten “unverzüglich auf N-central 2026.3 HF4 aktualisieren, um ihre Umgebung zu schützen”.
Die Shadowserver Foundation, eine gemeinnützige Organisation für Internetsicherheit, beobachtet aktuell fast 1.500 öffentlich erreichbare N-central-Server. Der Schwerpunkt liegt in den Vereinigten Staaten und in Europa.
Während N-able eine gezielte Ausnutzung bislang nicht bestätigt hat, führt das Sicherheitsunternehmen Huntress die Lücke als potenziellen Zero-Day. Gemeinsam mit CVE-2026-86218 wurden am Wochenende zwei weitere Schwachstellen hohen Schweregrads geschlossen: CVE-2026-86206 und CVE-2026-86207 ermöglichen es Angreifern, die Authentifizierung zu umgehen und vollständigen Zugriff auf die verwundbare N-central-Plattform zu erlangen.
Huntress verweist auf einen Vorfall bei einem Kunden, dessen bereits gepatchter N-central-Server in einer Produktivumgebung kompromittiert wurde. “In unserem Update vom 5.9.26 hatten wir gesagt, dass wir nicht ausschließen können, ob die beiden zuvor veröffentlichten Schwachstellen (CVE-2026-86206 und CVE-2026-86207) diejenigen waren, die in dem Fall ausgenutzt wurden”, so das Unternehmen. Da die Protokolle auf dem kompromittierten Server bereits rotiert worden seien, lasse sich ebenso wenig sagen, ob die nun offengelegte Schwachstelle in diesem Fall zum Einsatz kam.
“Nutzer von lokal betriebenem N-central müssen HF4 sofort einspielen, da Systeme mit HF3 für die neu offengelegte Lücke weiterhin angreifbar sind”, warnt Huntress.
N-central stand schon vor einem Jahr im Fokus: Damals veröffentlichte N-able Sicherheitsupdates für die beiden Schwachstellen CVE-2025-8875 und CVE-2025-8876, die aktiv ausgenutzt wurden. Wenige Tage später stellte Shadowserver fest, dass 880 N-central-Server weiterhin für Angriffe über diese beiden Lücken anfällig waren — obwohl die US-Behörde CISA Bundesbehörden angewiesen hatte, ihre Systeme binnen einer Woche zu patchen, und alle Sicherheitsteams zur vorrangigen Absicherung aufgerufen hatte.