Es geht um aktive Angriffe auf N-central, die Fernverwaltungsplattform von N-able: Sicherheitslücken wurden öffentlich gemacht, ein Hotfix (HF2) wurde zwar verteilt, dennoch zeigen Beobachtungen, dass Angreifer bereits Krypto-Miner über weitere Pfade installieren. Betreiber von N-central müssen jetzt schnell handeln, weil kompromittierte Instanzen Zugang zu verwalteten Kundensystemen eröffnen können.

Die Fakten

• Am 9. November veröffentlichte ein Sicherheitsforscher Details und Exploit-Code zu mehreren Schwachstellen in N-central; N-able bestätigte mehrere Lücken, darunter zwei als kritisch eingestufte CVEs (CVE-2026-125883, CVE-2026-125881).
• Durch Kombination mehrerer Lücken ist laut Anbieter und Forschenden unauthentisierte Ausführung von Schadcode und anschließende Escalation auf Root möglich.
• Als Reaktion nahm N-able gehostete Server vorsorglich vom Netz; am 10. November erschien Hotfix 2 (HF2) für N-central 2026.4, das die kritischsten Lücken adressiert.
• Am 12. November zeigten sich jedoch weiterhin Angriffspfade (u. a. 4EverAble2Shell), sofern die Legacy API aktiviert ist; diese API ist standardmäßig deaktiviert.
• Sicherheitsforscher (Huntback) beobachteten laufende Angriffe, bei denen Krypto-Miner für Monero installiert wurden; sie meldeten 21 befallene N-central-Server, davon 19 mit HF2.
• N-able veröffentlichte Indicators of Compromise (IoC), deaktivierte vorsorglich die Intune-Integration und verschob einen geplanten weiteren Hotfix (HF3) zur weiteren Prüfung.
• Empfohlene Übergangsmaßnahmen: Legacy API deaktivieren, HF2 einspielen, Agents und Probes aktualisieren; bereits kompromittierte Systeme gelten als vollständig kompromittiert.

Was dafür spricht

• N-able hat kritische Lücken bestätigt, zeitnah einen Hotfix bereitgestellt und IoCs veröffentlicht.
• Die Legacy API ist standardmäßig deaktiviert, wodurch viele Installationen von vornherein weniger angreifbar sind.
• Konkrete Handlungsempfehlungen (HF2, Legacy-API deaktivieren, Agents/Probes updaten) liegen vor und sind unmittelbar umsetzbar.
• Bei gehosteten Instanzen übernimmt N-able die Server-Updates teilweise selbst.

Was dagegen spricht

• HF2 ist offenbar nicht vollständig: Angreifer nutzten weiterhin einen alternativen Pfad (4EverAble2Shell), so dass Systeme trotz Patch angreifbar waren.
• Die Veröffentlichung von Exploit-Code erhöht das Risiko rascher Ausnutzung durch Kriminelle.
• Die genaue Zahl betroffener Systeme ist unklar; Agenten/Probes müssen von Kunden manuell aktualisiert werden, was Lücken lässt.
• Ein Hotfix (HF3) wurde verschoben — dies verlängert die Unsicherheit für Betreiber.
• Bei Spuren eines Angriffs ist mit vollständiger Kompromittierung zu rechnen; Abschalten der Legacy API beseitigt keinen bereits erfolgten Einbruch.

Unsere Einordnung

Für Managed-Service-Provider, IT-Admins und Sicherheitsverantwortliche ist die Lage relevant und erfordert sofortiges Handeln. Priorität haben das Einspielen von HF2, das Deaktivieren der Legacy API, das zeitnahe Aktualisieren von Agents und Probes sowie das Abgleichen mit den von N-able veröffentlichten IoCs. Wird ein Befall gefunden, ist von einer vollständigen Kompromittierung auszugehen: In solchen Fällen sind forensische Analyse, Credential-Rotation und gegebenenfalls Neuaufsetzung betroffener Instanzen zu prüfen. Kunden von MSPs sollten deren Status abfragen und sich bestätigen lassen, welche Maßnahmen ergriffen wurden. Langfristig zeigt der Vorfall die Risiken zentraler Fernverwaltungslösungen: Patch-Management, Monitoring und abgestimmte Incident-Response-Prozesse sind entscheidend, um ähnliche Vorfälle zu begrenzen.

Quelle: Originalmeldung lesen · Dieser Beitrag wurde mit KI-Unterstützung erstellt.