N-able N-central: Relative Pfad-Traversierung im Datei-Upload des Repositorys

Zusammenfassung

N-central, die Plattform für Remote Monitoring und Management von N-able, enthält eine relative Pfad-Traversierung (CWE-23) in der Upload-Funktion des Datei-Repositorys. Ein Angreifer mit hohen Berechtigungen kann Dateien ausserhalb des vorgesehenen Verzeichnisses ablegen und laut Titel der Herstellerwarnung Code aus der Ferne ausführen. Öffentlich verfügbarer Proof-of-Concept-Code existiert; der CVSS-Vektor setzt hohe Berechtigungen und keine Benutzerinteraktion voraus.

Betroffen

• N-able N-central vor 26.4.1 (CVE-Eintrag: betroffen 0 bis < 26.4.1)
• Von Forschern getestet: N-central Appliance 2026.4.0.31; frühere Versionen sind wahrscheinlich betroffen.

Behoben in

• N-central 26.4.1 laut CVE-Eintrag.
• Die Versionshinweise des Herstellers nennen 2026.4 Hotfix 2 (HF2), Build 2026.4.1.26.
• Die genaue Versionsgrenze ist in der Herstellerwarnung noch nicht bestätigt.

Umgehung

• Die Herstellerlösung ist HF2; der Workaround gilt nur für Server, die nicht sofort gepatcht werden können.
• Den N-central-Server als Übergangsmassnahme vom Internet und von nicht vertrauenswürdigen Netzen isolieren.
• Ein vom Hersteller veröffentlichter Konfigurations-Workaround für diese CVE ist nicht bekannt.

Ausnutzung

• Öffentlicher Proof-of-Concept-Code ist verfügbar (Repository des Forschers auf GitHub, Teil von 33 veröffentlichten Meldungen).
• Laut N-able gab es bis zum 9. Nov 2026 keine aktive Ausnutzung und keinen unautorisierten Datenzugriff.
• Es wurden Scan- und Honeypot-Aktivitäten beobachtet; diese belegen keine erfolgreiche Befehlsausführung.
• Laut einer Sekundärquelle ist die Schwachstelle am 10. Nov 2026 nicht im KEV-Katalog der CISA gelistet; dies wurde nicht auf cisa.gov verifiziert.

Unsere Empfehlung

• On-Premises-N-central so rasch wie möglich auf 2026.4 HF2 (Build 2026.4.1.26) oder neuer aktualisieren.
• Bis zum Patch die Erreichbarkeit des N-central-Servers aus dem Internet entfernen.
• Die Web-Root auf unerwartete JSP-Dateien prüfen und die Zugriffsprotokolle auswerten.
• Bei Verdacht auf eine Kompromittierung N-central- und Integrations-Zugangsdaten rotieren.
• Die Version vor einem Patch-Bericht in der Herstellerwarnung von N-able bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• N-able security advisory CVE-2026-125882 me.n-able.com
• N-central 2026.4 HF2 release notes status.n-able.com
• Huntress: N-able disables cloud services following disclosure of Able2Shell exploit chains www.huntress.com
• CVE-2026-125882 overview cve.threatint.com
• Proof-of-concept repository (Oracle-Security) github.com
• CSO Online: N-central gets emergency fix two days after 33 exploits published www.csoonline.com
• Ostorlab: N-central RCE, 33 zero-days (Able2Shell) blog.ostorlab.co
• ThreatDefence: N-central Able2Shell response and hunting threatdefence.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:04.