N-able hat eine kritische Schwachstelle in seiner Endpoint-Management-Plattform N-central geschlossen, die zuvor als Zero-Day angegriffen wurde. Die Lücke wird als CVE-2026-86218 geführt und mit dem höchstmöglichen CVSS-Wert von 10 bewertet. Sie ermöglicht nicht authentifizierte Remote-Codeausführung.
“Diese kritische Zero-Day-Schwachstelle, CVE-2026-86218, könnte bei erfolgreicher Ausnutzung einen Zugriff auf den N-central-Server noch vor der Authentifizierung ermöglichen”, warnt N-able. Aufgefallen war der Fehler, nachdem der Hersteller bereits zwei weitere Schwachstellen in N-central behoben hatte: CVE-2026-86206 und CVE-2026-86207.
Für gehostete N-central-Umgebungen besteht laut Unternehmen kein Handlungsbedarf, weil die Korrekturen serverseitig ausgerollt wurden. Wer N-central selbst betreibt, soll den Hotfix 2026.3 HF4 sofort einspielen. Dieser Hotfix ersetzt zugleich die zuvor veröffentlichten Patches für CVE-2026-86206 und CVE-2026-86207.
Über das Einspielen des Updates hinaus empfiehlt N-able eine Prüfung der Protokolldaten. “Sehen Sie Ihre Protokolle auf Scan-Aktivität durch. Wir haben Scans aus dem IP-Bereich 23.234.64.0/18 beobachtet, die versuchten, diese Schwachstelle auszunutzen. Prüfen Sie Ihre Protokolle auf Verbindungen aus diesem Bereich”, so das Unternehmen. Administratoren sollen ihre Installationen zudem daraufhin kontrollieren, ob dort neue Benutzerkonten angelegt wurden, die sie nicht zuordnen können.
“Zum jetzigen Zeitpunkt liegen uns keine Bestätigungen vor, dass diese Schwachstelle in produktiven Umgebungen ausgenutzt wurde, ungepatchte Systeme bleiben aber gefährdet”, erklärt N-able.
Die beiden zuvor gepatchten Lücken hatte das Sicherheitsunternehmen Huntress als möglicherweise in freier Wildbahn verkettet eingestuft: In Kombination hätten sie sich nutzen lassen, um die Authentifizierung zu umgehen und produktive N-central-Umgebungen zu kompromittieren. Zugleich schränkt Huntress die eigene Einschätzung ein: “Aufgrund der begrenzten historischen Protokollierung, die direkt auf der Appliance verfügbar ist, können wir jedoch nicht abschließend bestätigen, welchen konkreten Exploit der Angreifer für die Kompromittierung verwendet hat, und wir können den Einsatz alternativer Schwachstellen auch nicht ausschließen.”
Nach Beobachtung von Huntress richteten sich die Angriffe gegen die zugrunde liegende API von N-central sowie gegen die Appliance-Protokolle; sie begannen am 4. September 2026.