N-able N-central: Lokale Rechteausweitung zu root über syslog-ng-Konfiguration
Zusammenfassung
N-able N-central, eine Plattform für Remote Monitoring und Management (RMM), die von Managed Service Providern eingesetzt wird, enthält eine fehlerhafte Rechtezuweisung in einer syslog-ng-Konfigurationsdatei, die für den Benutzer nable beschreibbar ist. Ein lokaler Angreifer mit bereits vorhandener Codeausführung als Dienstkonto nable kann seine Rechte zu root ausweiten. Der CVSS-Vektor setzt hohe Berechtigungen voraus (PR:H). Da MSPs Kundennetze über N-central verwalten, kann ein kompromittierter Server viele Kundenumgebungen gefährden.
Betroffen
- N-central-Versionen vor 26.4.1 (CVE-Eintrag: betroffen 0 bis < 26.4.1)
Behoben in
- N-central 2026.4 Hotfix 2 (Build 2026.4.1.26) gemäss den Release Notes des Herstellers
- Unbekannt: ob frühere Zweige wie 2026.3.x für diese CVE eine Korrektur erhalten
Umgehung
- Keine separate Workaround-Massnahme bekannt. Der Hersteller empfiehlt das Einspielen des Patches.
- Ungepatchte lokale N-central-Server bis zur Aktualisierung vom Internet isolieren.
Ausnutzung
- Öffentlicher Proof-of-Concept-Code existiert im Rahmen der Able2Shell-Veröffentlichung von 33 Schwachstellen.
- Berichte zu aktiver Ausnutzung widersprechen sich. N-able meldete Scanaktivitäten, aber keine bestätigte Kompromittierung von Kundenumgebungen. watchTowr beobachtete Ausnutzungsversuche gegen Honeypots.
- Zum Zeitpunkt der Recherche nicht im Katalog CISA KEV aufgeführt.
Unsere Empfehlung
- Build jedes N-central-Servers prüfen und lokale Server auf 2026.4 HF2 (Build 2026.4.1.26) oder neuer aktualisieren.
- Falls das Patchen verzögert wird, betroffene Server ausser Betrieb nehmen oder isolieren.
- Authentifizierungsprotokolle ab 8. November 2026 sowie Administratorkonten und neu bereitgestellte Skripte überprüfen.
- Jeden exponierten, ungepatchten Server als potenziell kompromittiert behandeln und die damit verbundenen Kundennetze prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- N-able security advisory (vendor) me.n-able.com
- N-central 2026.4 HF2 release notes status.n-able.com
- Huntress: N-able vulnerability exploitation www.huntress.com
- Ostorlab: N-central RCE and Able2Shell chains blog.ostorlab.co
- Rapid7: N-central critical vulnerabilities www.rapid7.com
- CSA research note: Able2Shell N-central zero-days labs.cloudsecurityalliance.org
- CSO Online: N-central emergency fix www.csoonline.com
- Cybersecurity News: N-central servers taken offline cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.