N-able N-central: Cross-Site Scripting (OGNL-Injection) im Webinterface

Zusammenfassung

N-able N-central, eine Plattform für Remote Monitoring und Management, die von Managed Service Providern eingesetzt wird, enthält mehrere Injection-Schwachstellen vor Version 26.4.1. Der CNA-Eintrag klassifiziert das Problem als Cross-Site Scripting (CWE-79) mit CVSS 4.0 8.7, während der Advisory-Titel OGNL-Injection mit Remote Code Execution beschreibt; VulDB bewertet es mit 3.5, und die Klassifizierung ist noch nicht bestätigt. Je nach bestätigtem Angriffspfad könnte ein Angreifer mit niedrigen Berechtigungen Daten auf dem Server lesen oder verändern und auf die von ihm verwalteten Kundengeräte zugreifen. Öffentlicher Proof-of-Concept-Code existiert, und N-able meldet keine beobachtete aktive Ausnutzung, während andere Berichte Ausnutzungsversuche beschreiben.

Betroffen

• N-able N-central von 0 bis vor 26.4.1 (CNA-Eintrag)
• VulDB nennt bis 26.4.0

Behoben in

• 26.4.1 gemäss CVE-Eintrag
• N-central 2026.4 HF2 gemäss Versionshinweisen von N-able; Gleichwertigkeit mit 26.4.1 nicht bestätigt
• Ein Folge-Hotfix ist angekündigt, aber noch nicht veröffentlicht

Umgehung

• Unbekannt. Die wichtigste Empfehlung des Herstellers ist das Upgrade; N-central-Server sollten bis zum erfolgreichen Upgrade offline bleiben. N-able hat gehostete Instanzen offline genommen.

Ausnutzung

• Öffentlicher Proof-of-Concept-Code existiert (Repository eines Forschers; Zuordnung zu dieser CVE durch eine Primärquelle nicht bestätigt).
• Aktive Ausnutzung: umstritten. N-able meldet keine beobachtete aktive Ausnutzung; andere Berichte beschreiben Ausnutzungsversuche gegen die Plattform, die nicht dieser CVE zugeordnet werden.
• Censys zählte weltweit 1728 aus dem Internet erreichbare N-central-Instanzen; eine Zahl für die Schweiz wurde nicht gefunden.

Unsere Empfehlung

• Prüfen Sie, ob ein N-central-Server aus dem Internet erreichbar ist, und beschränken Sie den Zugriff umgehend.
• Überprüfen Sie die Build-Version; jede Version vor dem korrigierten Build ist betroffen.
• Führen Sie das Upgrade auf den korrigierten Build so rasch wie möglich durch und installieren Sie den Folge-Hotfix, sobald er veröffentlicht ist; bestätigen Sie den genauen Build zuvor bei N-able.
• Überprüfen Sie Administratorkonten, letzte Anmeldungen und neu erstellte Konten auf den N-central-Servern.
• Verfolgen Sie das Advisory und die Statusseite von N-able auf Aktualisierungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• N-able security advisory CVE-2026-125878 me.n-able.com
• N-central 2026.4 HF2 release notes (N-able) status.n-able.com
• CVE record summary (threatint) cve.threatint.com
• VulDB entry 435029 vuldb.com
• CSO Online: N-central emergency fix www.csoonline.com
• The Hacker News: N-able takes hosted N-central offline thehackernews.com
• OffSeq radar entry CVE-2026-125878 radar.offseq.com
• N-able status page (pulsapi) www.pulsapi.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:56.