N-able N-central: Server-Side Request Forgery (SSRF)
Zusammenfassung
N-able N-central, eine Plattform für Remote Monitoring und Management (RMM), enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in der Validierung von Dienst-Importschemata. Gemäss CVSS-Vektor kann ein Angreifer im Netzwerk dies ohne Anmeldedaten und ohne Benutzerinteraktion auslösen, wodurch der Server Anfragen an interne oder andere unbeabsichtigte Ziele senden könnte. N-able stuft das Problem als kritisch ein (CVSS 4.0 Basiswert 9.3), die Auswirkungen auf Vertraulichkeit und Integrität werden als hoch bewertet.
Betroffen
- N-central vor 26.4.1 (gemäss CVE-Eintrag und Aggregatoren)
- Die Standardkonfiguration wird als nicht betroffen angegeben.
Behoben in
- Version 26.4.1 gemäss CVE-Eintrag und Aggregatoren.
- Die Release Notes von N-able führen diese CVE im Hotfix "N-central 2026.4 HF2" auf. Die genaue Build-Nummer und der Aktualisierungspfad für HF2 sind nicht bestätigt.
Umgehung
Unbekannt. In den geprüften Quellen ist kein SSRF-spezifischer Workaround dokumentiert.
Ausnutzung
- N-able meldet auf seiner Statusseite keine aktive Ausnutzung der veröffentlichten Schwachstellen-Gruppe.
- Für die Gruppe existiert ein öffentliches Proof-of-Concept-Repository (Able2Shell). Ob es diese CVE abdeckt, ist nicht bestätigt.
- Eine Ausnutzung von CVE-2026-125881 in freier Wildbahn ist nicht bestätigt.
Unsere Empfehlung
- Alle lokal betriebenen N-central-Server und allfällige von MSPs betriebene Instanzen, auf die Sie sich verlassen, identifizieren und deren Build-Version prüfen.
- Den Herstellerfix so bald wie möglich einspielen, sobald der Build bestätigt ist. Die genaue Version und den Aktualisierungspfad im Sicherheitshinweis des Herstellers prüfen.
- Bis zur Behebung den Zugriff auf die N-central-Weboberfläche einschränken und prüfen, ob der Server aus dem Internet erreichbar ist.
- Protokolle seit dem 8. November 2026 auf ungewöhnliche ausgehende Anfragen des N-central-Servers prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- N-able security advisory CVE-2026-125881 me.n-able.com
- N-central 2026.4 HF2 release notes status.n-able.com
- CSO Online: N-central gets emergency fix www.csoonline.com
- Strix AI: CVE-2026-125881 www.strix.ai
- BleepingComputer: N-able takes cloud platform offline after zero-days published www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.