Ein Patch, der eine Fortsetzung brauchte

N-ables Zeitleiste liest sich wie eine Schwachstelle, die sich nicht daürhaft schließen ließ. CVE-2026-18556, eine Authentifizierungslücke in N-central, wurde zürst gepatcht. Angreifer fanden danach, in N-ables eigenen Worten, 'eine Variante, die die spezifischen Prüfungen des vorherigen Patches umgeht,' erfasst als CVE-2026-18577, ausgenutzt seit etwa dem 1. August und am 3. August in CISAs Katalog bekannter ausgenutzter Schwachstellen aufgenommen. N-able lieferte Hotfix 1, Version 2026.3.1.7, am 2. August aus. Damit hätte die Geschichte eigentlich enden sollen.

Das tat sie nicht. Am 10. August lieferte N-able Hotfix 2 aus, Version 2026.3.1.10, ausdrücklich auch für Kunden nötig, die Hotfix 1 bereits eingespielt hatten. Das eigene Sicherheitsupdate des Anbieters von diesem Datum bestätigt, dass Angreifer bis dahin eine begrenzte Zahl von Kundennetzwerken erreicht, Administratorkonten übernommen und die Take-Control-Funktion der Plattform genutzt hatten, um verwaltete Endpunkte zu berühren. Ein zweiter Pflicht-Hotfix acht Tage nach dem ersten ist das klarste mögliche Signal, dass der erste Patch die Tür nicht vollständig geschlossen hatte.

Die Ransomware, die die Frage der Patch-Zeitleiste beantwortet

Die offene Frage nach Hotfix 1 war, ob die Umgehung tatsächlich für mehr als Aufklärung genutzt worden war. Microsofts Zuordnung vom 10. August beantwortet sie: Storm-1175, eine finanziell motivierte, China-nahe Gruppe, die Microsoft seit mindestens ihren früheren Medusa-Ransomware-Kampagnen verfolgt, setzte eine bisher unbekannte Variante namens StormEncryptor ein und erlangte den Erstzugriff wahrscheinlich über CVE-2026-18577. Es ist die erste seit April 2026 beobachtete Aktivität der Gruppe und ihr erster dokumentierter Schritt weg von Medusa.

StormEncryptor ist in C++ geschrieben, hängt verschlüsselten Dateien '.encrypted' an und hinterlässt in jedem gescannten Verzeichnis eine Erpressernotiz mit dem Titel '!!!README_FIRST!!!.txt'. Microsoft beschreibt, wie die Gruppe sich innerhalb weniger Tage vom Erstzugriff zur Datenexfiltration und zum Ausrollen der Ransomware bewegt, unter Einsatz von AnyDesk und SimpleHelp für Fernzugriff, Advanced IP Scanner zur Erkundung und Mimikatz zum Auslesen von LSASS-Zugangsdaten. Das ist ein konkreter, benennbarer Werkzeugkasten, nach dem ein MSP-Reaktionsteam direkt suchen kann, statt einer allgemeinen Warnung, 'den Patchstand zu prüfen.'

Warum eine kompromittierte Konsole zum Problem aller wird

N-central existiert genau dafür, dass ein einzelner MSP-Techniker viele Kundennetzwerke von einer einzigen Konsole aus verwalten kann, mithilfe der Take-Control-Funktion, um jeden verwalteten Endpunkt zu erreichen, ohne ihn aufzusuchen. Dieses Design ist das gesamte Wertversprechen des Produkts, und es ist auch genau das, was Storm-1175 missbrauchte: Die Übernahme eines Administratorkontos auf einer N-central-Konsole verschafft einem Angreifer dieselbe Reichweite über jedes Kundennetzwerk, das diese Konsole rechtmäßig verwaltet. N-able hat die Zahl bestätigter Opfer als 'begrenzt' bezeichnet, aber keine Zahl veröffentlicht, keine betroffenen MSPs genannt und nicht angegeben, welche nachgelagerten Branchen betroffen waren.

Dieses Schweigen legt jeder Organisation, die IT an einen N-central nutzenden MSP ausgelagert hat, die Pflicht auf, direkt nachzufragen statt anzunehmen: Wurde die N-central-Instanz unseres MSP als sauber bestätigt, nicht nur zweimal gepatcht, und wurde sie auf die von Microsoft veröffentlichten Indikatoren geprüft, Cloudflare-Tunnel-Dienste, vom MSP nicht autorisierte AnyDesk- oder SimpleHelp-Installationen, sowie jeden LSASS-Zugriff, der zu Mimikatz-Nutzung passt.

Zwei öffentliche Darstellungen desselben Lochs, acht Tage auseinander

Am 3. August 2026 war die öffentliche Darstellung von CVE-2026-18577 eine Geschichte des Schwachstellenmanagements: eine Patch-Umgehung, aufgenommen in einen Compliance-Katalog, mit einer Frist zur Behebung für Bundesbehörden. Diese Rahmung lädt zu einer Häkchen-Reaktion ein, patchen und weitermachen. Bis zum 10. August hatte sich die Rahmung zu einer Geschichte aktiven Eindringens gewandelt: eine benannte, bisher unbekannte Ransomware-Familie, einer Gruppe zugeschrieben, die Microsoft mit China verbindet, die sich bereits innerhalb von Tagen durch Netzwerke bewegte.

Die sieben Tage zwischen diesen beiden Rahmungen sind die eigentliche Lehre für jede Organisation, die einen KEV-Eintrag als Ende der Geschichte einer Schwachstelle behandelt statt als Beginn eines Vorfallreaktionsfalls. Eine CVE-Nummer sagt, was zu patchen ist. Sie sagt nicht, ob schon jemand eingedrungen ist, bevor man selbst dazu kam, und in diesem Fall bestätigt N-ables eigene Zeitleiste, dass manche Kunden es auf die zweite Weise erfuhren.

Weiterlesen: Eine KI führte diesen Ransomware-Angriff allein aus  |  Ein geteiltes Zertifikat lässt Qilin herein