N-able N-central: XML External Entity (XXE)-Injection

Zusammenfassung

N-able N-central, eine Plattform für Fernüberwachung und Fernverwaltung (RMM), die von Managed Service Providern eingesetzt wird, enthält eine XML External Entity (XXE)-Schwachstelle, die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann sie missbrauchen, um das XML-Schema zu manipulieren und möglicherweise Daten abzugreifen oder Befehle mit den Rechten des Dienstkontos auszuführen. Öffentlicher Exploit-Code für eine XXE-Kette wurde am 9. November 2026 veröffentlicht, und der Hersteller hat einen Fix bereitgestellt.

Betroffen

• N-central vor 26.4.1 gemäss CNA-Eintrag (Standard: nicht betroffen)
• Versionsbezeichnung uneinheitlich: Die Versionshinweise des Herstellers führen diese CVE als behoben in N-central 2026.4 Hotfix 2, Build 2026.4.1.26 auf. Die genaue Version anhand der Herstellerinformation bestätigen.

Behoben in

• N-central 2026.4 Hotfix 2, Build 2026.4.1.26 (gemäss Versionshinweisen des Herstellers; anhand der Herstellerinformation bestätigen)
• Ältere Versionen müssen zuerst auf eine unterstützte Version aktualisiert werden (2026.1, 2026.2, 2026.3, 2026.3.1-Hotfixes oder 2026.4-Builds).
• Agents und Probes müssen ebenfalls aktualisiert werden, um die Kompatibilität wiederherzustellen.
• Hinweis: Gepatchte Server zeigen unter Umständen keine neue Versionsnummer an; die Prüfung daher anhand der Herstellervorgaben vornehmen.

Umgehung

Unbekannt. Der Hersteller hat keine Massnahme zur Abschwächung speziell für diese CVE aufgeführt. Da ein Patch verfügbar ist, ist das Einspielen des Patches die erforderliche Massnahme. Während des ersten Vorfalls nahm N-able die gehostete N-central-Instanz vom Netz und forderte On-Premises-Kunden auf, ihre Server bis zur Bereitstellung des Fixes herunterzufahren. Ob dies weiterhin gilt, ist unbekannt; den aktuellen Status des Herstellers prüfen.

Ausnutzung

• Öffentlicher Proof of Concept: ja. Ein Forscher veröffentlichte am 9. November 2026 33 Schwachstellen und vier Exploit-Ketten, darunter eine anonyme XXE-Kette.
• Gemäss Berichten ist keine Authentifizierung nötig; ein Angreifer kann Befehle als Dienstkonto ausführen, in einzelnen Fällen mit Root-Rechten.
• In freier Wildbahn: Der Hersteller meldet Scan-Aktivitäten im Zusammenhang mit den veröffentlichten Exploits, jedoch keine bestätigte erfolgreiche Ausnutzung von Kundenumgebungen. OffSeq führt die CVE als nicht bekannterweise ausgenutzt.
• Das Produkt war im August 2026 über eine andere CVE (CVE-2026-18577) das Ziel von Angriffen.

Unsere Empfehlung

• N-central umgehend auf den behobenen Build aktualisieren und alle Agents und Probes nachziehen.
• Prüfen, ob N-central im Einsatz ist und wo, und ob eine Instanz aus dem Internet erreichbar ist; exponierte oder ungepatchte Server haben hohe Priorität.
• Den Managed Service Provider fragen, ob N-central gepatcht ist.
• Authentifizierungs- und Admin-Zugriffsprotokolle auf unerwartete Aktivitäten prüfen, insbesondere seit August 2026. Ungepatchte oder exponierte Server bis zur Verifizierung als potenziell kompromittiert behandeln.
• Eine Kompromittierung kann laterale Bewegungen zu verwalteten Endgeräten ermöglichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• N-able security advisory CVE-2026-125883 me.n-able.com
• N-central 2026.4 Hotfix 2 release notes status.n-able.com
• CSO Online: N-central emergency fix www.csoonline.com
• Huntress: N-able vulnerability exploitation www.huntress.com
• OffSeq Radar: CVE-2026-125883 radar.offseq.com
• Strix: CVE-2026-125883 www.strix.ai
• Ostorlab: N-central RCE, 33 zero-days blog.ostorlab.co
• N-able blog: N-central security update August 2026 www.n-able.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:35.