N-able N-central: Gespeichertes Cross-Site Scripting über Patch-Metadaten

Zusammenfassung

N-able N-central, eine Plattform für Fernüberwachung und Fernverwaltung, die von Managed Service Providern genutzt wird, enthält eine gespeicherte Cross-Site Scripting (XSS) Schwachstelle (CWE-644) in der Verarbeitung der MMS3-Patch-Metadaten. Ein Angreifer mit Zugriff auf Patch-Metadaten kann ein Skript einschleusen, das im Browser eines Administrators ausgeführt wird, sobald dieser die Patch-Details öffnet; dies kann zu einer Übernahme der Sitzung oder weiteren Aktionen in der Konsole führen. Der CVSS-4.0-Wert von 8.3 setzt hohe Privilegien und eine Benutzerinteraktion voraus, doch laut öffentlicher Recherche gibt es eine Angriffskette ohne Authentifizierung, die diese XSS-Schwachstelle zusammen mit weiteren Problemen derselben Serie nutzt; das reale Risiko ist daher wahrscheinlich höher. Die CVE-ID in der Advisory-URL stimmt nicht mit CVE-2026-125880 überein und muss mit N-able bestätigt werden.

Betroffen

• N-able N-central vor 26.4.1 (CNA-Daten: betroffen 0 bis < 26.4.1)

Behoben in

• N-central 2026.4 Hotfix 2, Build 2026.4.1.26, laut den Release Notes des Herstellers (nicht in einer Versionsmatrix des Herstellers bestätigt)
• Hotfix 1 ist keine Behebung für diese Schwachstelle
• Probes, Agents und PME müssen ebenfalls aktualisiert werden; Agents können mit einer aktualisierten Probe erst kommunizieren, wenn Agent und PME ebenfalls aktualisiert sind

Umgehung

• Eine spezifische Workaround-Massnahme des Herstellers für diese CVE ist nicht bekannt; die Behebung ist das Update
• Falls das Patchen nicht sofort möglich ist, den On-Premises-Server vom Netz nehmen; N-able hat dies während der Reaktionsphase empfohlen
• Patch-Details nicht als Administrator öffnen, bevor diese auf eingebettete Skripte geprüft wurden

Ausnutzung

• Öffentliche Proof-of-Concept-Exploit-Ketten existieren; die XSS-Schwachstelle ist Teil einer öffentlich veröffentlichten Serie von Ketten, darunter Pfade ohne Authentifizierung
• Es wurden Angriffsversuche gegen die Plattform gemeldet, die jedoch nicht dieser CVE zugeordnet sind
• Laut einem Aggregator nicht im CISA-KEV-Katalog gelistet; der CISA-Katalog wurde nicht direkt geprüft

Unsere Empfehlung

• On-Premises-N-central prioritär auf 2026.4 Hotfix 2 (Build 2026.4.1.26) oder neuer aktualisieren, danach Probes, Agents und PME
• Prüfen, ob eine On-Premises-Instanz aus dem Internet erreichbar ist, und solche Systeme als dringend behandeln
• Patch-Einträge mit Skript- oder HTML-Inhalten sowie Änderungen an Administrator- und Techniker-Konten seit dem 8. November 2026 überprüfen
• Beim Managed Service Provider den Patch-Status von N-central erfragen und ob dieser auf Kompromittierungen geprüft hat

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• N-able security advisory (CVE ID to be confirmed) me.n-able.com
• N-central 2026.4 HF2 release notes status.n-able.com
• CSO Online: N-central emergency fix and exploits www.csoonline.com
• Huntress: N-able disables cloud services www.huntress.com
• CSA research note on Able2Shell N-central zero-days labs.cloudsecurityalliance.org
• ThreatDefence: N-central Able2Shell hunting guidance threatdefence.com
• CVE-2026-125880 CNA data (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:17.