N-able nimmt MSP-Software nach 33 Zero-Day-Lücken vom Netz

Der Softwareanbieter N-able hat seine gehosteten Umgebungen der Plattform N-central in Nord- und Südamerika, Europa und dem asiatisch-pazifischen Raum vom Netz genommen. Kunden, die N-central auf eigenen Servern betreiben, sollen diese bis auf Weiteres ebenfalls abschalten. Anlass ist die Veröffentlichung von 33 mutmaßlichen Zero-Day-Lücken mitsamt Exploit-Code. N-central ist eine Plattform zur Fernüberwachung und -verwaltung (RMM), mit der Managed Service Provider (MSPs) und IT-Teams Geräte und Netzwerke ihrer Kunden steuern. Die Plattform hat damit weitreichenden Zugriff auf die verwalteten Systeme.

„Als Vorsichtsmaßnahme nehmen wir unsere gehostete N-central-Umgebung vorübergehend vom Netz, während wir die notwendigen Maßnahmen ergreifen, um die Umgebung abzusichern und geeignete Korrekturen umzusetzen.”
N-able

Das Unternehmen arbeitet an einem Hotfix. Wann N-central wieder verfügbar ist, ist offen. Bis zum 9. November, 16:15 Uhr mitteleuropäischer Zeit, hatte N-able keine aktive Ausnutzung beobachtet.

Veröffentlichung ohne Absprache

Der Sicherheitsforscher Sean Bales hatte die Lücken in der Nacht zum 9. November unter dem Namen Able2Shell in einem GitHub-Repository des Kontos Oracle-Security veröffentlicht, samt technischer Beschreibungen, Screenshots und Proof-of-Concept-Code in Python. N-able spricht von einer nicht verantwortungsvollen Offenlegung. Getestet wurde laut Bales die Version 2026.4.0.31 der N-central Appliance. Laut Berichten begründete er die Veröffentlichung unter anderem damit, dass frühere gemeldete Lücken nicht behoben worden seien.

Die Schwachstellen umfassen unter anderem das Auslesen von Zugangsdaten, das Schreiben beliebiger Dateien, Directory Traversal, Cross-Site-Scripting, XML External Entity (XXE) Injection und die Ausführung von Code aus der Ferne. Laut dem Sicherheitsunternehmen Huntress lassen sie sich zu vier Angriffsketten verbinden. Drei davon ermöglichen das Ausführen von Code auf dem Server, die vierte die Ausweitung von Rechten bis auf Root-Ebene. Einige Ketten erfordern keine Anmeldung und können zur Anlage eines eigenen Administratorkontos führen.

Protokolle seit dem 8. November prüfen

Huntress empfiehlt, Anmeldungen und Authentifizierungsvorgänge seit dem 8. November zu prüfen. Zudem sollten Administratoren nach unbekannten Administratorkonten und unerwarteter Skriptausführung suchen, prüfen, welche kritischen Systeme wie Domänencontroller und Backup-Infrastruktur der Plattform vertrauen, und bei Auffälligkeiten Zugangsdaten von Dienstkonten austauschen. Bereits zuvor war in diesem Jahr eine Lücke in N-central (CVE-2026-86218) aktiv ausgenutzt worden. Im Oktober hatte zudem ein Angriff auf Anwendungsidentitäten von ConnectWise gezeigt, wie Angreifer über MSP-Werkzeuge Zugang zu Kundenumgebungen erhalten können.

(red)