N-able N-central: Remote Code Inclusion über unsignierte Upgrade-Pakete

Zusammenfassung

N-able N-central, eine Plattform für Fernüberwachung und Fernverwaltung, die von MSPs und IT-Teams eingesetzt wird, lädt Code ohne Integritätsprüfung herunter, wodurch Remote Code Inclusion möglich ist. Der CNA-Eintrag nennt den betroffenen Bereich bis 24.6.1, und das CVSS-Rating setzt einen Angreifer mit hohen Berechtigungen voraus. Forschende berichten, dass die verwandte Able2Shell-Kette mit weniger Zugriff erreichbar sein kann und auch ein Pre-Release-Build betroffen war, weshalb das tatsächliche Ausmass grösser sein könnte als der CVE-Bereich vermuten lässt.

Betroffen

• N-able N-central bis 24.6.1 gemäss CNA-Eintrag (Standard: nicht betroffen)
• Forschende berichten, dass die öffentlichen Able2Shell-Tests den Build 2026.4.0.31 verwendeten und dass auch frühere Builds betroffen sein könnten
• Triskele Labs empfiehlt, alle On-Premises-Server als betroffen zu behandeln, einschliesslich jener auf 2026.3 Hotfix 4 (Build 2026.3.1.14), bis N-able das Gegenteil bestätigt
• Hosted-N-central-Umgebungen sind gemäss Berichten offline

Behoben in

Unbekannt. In den verfügbaren Quellen zum Zeitpunkt der Erstellung ist keine korrigierte Version veröffentlicht. Das Advisory von N-able konnte zur Verifizierung nicht geöffnet werden.

Umgehung

• N-able empfiehlt, On-Premises-Server offline zu nehmen, bis N-able bestätigt, dass sie sicher wiederhergestellt werden können
• Muss ein Server online bleiben, ist jegliche Internet-Exposition der N-central-Weboberfläche zu entfernen (Empfehlung Dritter, nicht vom Hersteller dokumentiert)
• Nur den offiziellen Hotfix von N-able anwenden, sobald dieser veröffentlicht ist, und den korrigierten Build in den Release Notes prüfen

Ausnutzung

• N-able meldet keine Anzeichen einer aktiven Ausnutzung dieser Schwachstellen
• N-able meldet Scan-Aktivitäten im Zusammenhang mit veröffentlichtem Proof-of-Concept-Code, ohne Hinweise auf erfolgreiche Ausnutzung in Kundenumgebungen
• Für die verwandte Able2Shell-Kette existiert ein öffentlicher Proof-of-Concept; dieser wurde nicht gegen diese spezifische CVE verifiziert
• Gemäss Stand 10. November 2026 nicht im CISA-KEV-Katalog aufgeführt

Unsere Empfehlung

• Alle N-central-Instanzen, hosted und On-Premises, inventarisieren und auf Internet-Exposition prüfen
• On-Premises-Server offline lassen oder hinter einem VPN oder einer Firewall betreiben, bis N-able einen validierten Hotfix veröffentlicht
• Den Hotfix nur über offizielle Kanäle von N-able beziehen und den korrigierten Build prüfen
• Audit-Logs und Administratorkonten auf unerwartete Änderungen prüfen
• Beim MSP nachfragen, ob N-central eingesetzt wird und welchen Status die Umgebung hat

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• N-able security advisory CVE-2026-125958 me.n-able.com
• The Hacker News: N-able takes hosted N-central offline thehackernews.com
• Triskele Labs: N-central Able2Shell zero-days take on-premises servers offline www.triskelelabs.com
• OffSeq Radar: CVE-2026-125958 radar.offseq.com
• Strix: CVE-2026-125958 www.strix.ai
• CVE Threat Intelligence: CVE-2026-125958 cve.threatint.com
• Brandefense: N-able Able2Shell zero-days brandefense.io
• Ostorlab: N-central RCE, 33 zero-days (Able2Shell) blog.ostorlab.co

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:47.