Das RMM-Tool Ihres MSP hat eine zweite Bypass-Lücke

Eine zweite Umgehung, keine neue Lücke

CVE-2026-18577 ist eine Authentifizierungsumgehung in N-ables Fernwartungsplattform N-central, die Art von Schwachstelle, die die US-Behörde CISA als Umgehung über einen alternativen Pfad oder Kanal einstuft. Sie erreicht einen CVSS-Wert von 8.2, und was sie einem nicht authentifizierten Angreifer verschafft, ist kein Fußabdruck, sondern die volle administrative Kontrolle über die N-central-Konsole selbst.

Was es schlimmer macht, ist die Vorgeschichte. N-able hatte bereits eine Authentifizierungsumgehung in N-central gepatcht, geführt als CVE-2026-18556. CVE-2026-18577 ist keine später entdeckte, separate Lücke - es ist ein Weg um genau diesen Patch herum, eine Route in die Konsole, die der erste Patch offen ließ. Der Hersteller schloss eine Tür und ließ ein Fenster offen.

Innerhalb einer kompromittierten N-central-Konsole

CISA und die Sicherheitsfirma Rapid7 datieren die aktive Ausnutzung auf den 1. August 2026, Tage bevor N-able einen Patch bereit hatte. Einmal in einer Konsole, griffen die Angreifer zu einer Funktion, die N-central-Kunden täglich nutzen: Take Control, das eingebaute Fernzugriffswerkzeug, auf das MSPs angewiesen sind, um die von ihnen verwalteten Endgeräte zu erreichen. Statt eine eigene Zugriffsroute zu bauen, nutzten die Eindringlinge die eigene Fernsteuerungsfunktion der Plattform, um direkt auf Kundenrechner zuzugreifen.

Für die Persistenz setzten sie Cloudflare Tunnel ein, das Werkzeug cloudflared, um lange nach dem ersten Einbruch eine unauffällige, ausgehende Verbindung offen zu halten - die Art von Kanal, der sich in gewöhnlichen verschlüsselten Datenverkehr einfügt und keine eingehende Firewall-Regel benötigt. Die auf Bedrohungsjagd spezialisierte Firma Huntress berichtete, dies über mehrere Organisationen hinweg beobachtet zu haben, und N-able selbst bestätigte, dass eine begrenzte Zahl von Kunden über CVE-2026-18577 kompromittiert wurde, bevor der Hotfix erschien.

Eine Konsole, viele Firmennetzwerke

N-central ist keine Endgeräte-Software, die eine einzelne Firma auf ihren eigenen Rechnern installiert. Es ist die Konsole, mit der ein Managed-Service-Provider Dutzende oder Hunderte Kundennetzwerke gleichzeitig verwaltet - Patchen, Überwachen, Fernzugriff, alles über einen einzigen Login. Genau das machte diese Umgehung für wen auch immer sie fand so lohnenswert zu automatisieren: eine einzige Authentifizierungslücke, erreichbar für jeden, der die Konsole über das Internet sehen konnte, sitzt vor jedem Kunden, den ein MSP über sie erreicht.

Unter der EU-Richtlinie NIS2 kann ein MSP, der einen solchen Vorfall erleidet, seiner nationalen Behörde eine Meldung schulden - in Deutschland ist das das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Die Meldepflicht liegt beim MSP. Das Risiko liegt bei jedem Kunden, dessen Netzwerk diese Konsole erreichen könnte, ob er den Namen N-central je gehört hat oder nicht.

Angewendet ist nicht dasselbe wie geschlossen

N-able hat den Patch nicht versäumt. Das Unternehmen patchte CVE-2026-18556, veröffentlichte den Fix und machte weiter - und Angreifer kamen trotzdem durch dieselbe Tür, nur über einen anderen Weg, wieder herein. Das ist die unbequeme Lehre unter den Details: Ein Hersteller kann einen Patch in gutem Glauben anwenden und die zugrunde liegende Schwäche trotzdem intakt lassen, weil der Patch den Pfad schloss, den er getestet hatte, nicht den Pfad, den später jemand anderes fand.

Das ist kein Argument gegen das Patchen und kein Grund, N-able speziell zu misstrauen. Es ist eine Erinnerung, dass 'wir haben es gepatcht' und 'es ist behoben' zwei verschiedene Aussagen sind, und nur eine davon ist von außen überprüfbar. Wer die erste Aussage als Beweis der zweiten nimmt - bei diesem Hersteller oder jedem anderen - vertraut einem Satz statt eine Versionsnummer zu prüfen.

Die Frage, die Sie diese Woche Ihrem MSP stellen sollten

N-ables Fix ist N-central 2026.3.1 Hotfix 1, veröffentlicht am 2. August 2026. Gehostete, cloud-verwaltete N-central-Instanzen wurden automatisch aktualisiert und brauchen keine Aktion. On-Premises-Installationen patchen sich nicht von selbst - jemand beim MSP muss den Hotfix anwenden, und bis das geschieht, trägt die Konsole, die Ihr Netzwerk verwaltet, dieselbe Lücke, die CISA am 3. August in ihren Known-Exploited-Vulnerabilities-Katalog aufnahm, mit einer Frist bis zum 6. August für US-Bundesbehörden.

Wenn Ihre IT ausgelagert ist, ist diese Frist nicht Ihre, aber sie taugt trotzdem als Maßstab. Fragen Sie Ihren MSP direkt, ob die N-central-Konsole, die Ihr Netzwerk berührt, auf 2026.3.1 Hotfix 1 oder neuer läuft, und verlangen Sie die Build-Nummer, keine allgemeine Zusicherung. Eine Lieferantenbeziehung, die Sie nicht überprüfen können, ist keine Aufsicht - es ist eine Hoffnung, die Sie mit der IT gleich mit ausgelagert haben.

Weiterlesen: 45.601 Lücken, 171 werden wirklich genutzt  |  Ein geteiltes Zertifikat lässt Qilin herein