Mit N-central verwalten IT-Dienstleister die Rechner ihrer Kunden, laut N-able nutzen die Plattform mehr als 500.000 Organisationen.[3] Am 9. November nahm N-able die gehostete Version vom Netz, nachdem ein Forscher 33 mutmaßliche Sicherheitslücken samt Beispielcode veröffentlicht hatte.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
N-able hat am 9. November seine gehostete Fernwartungsplattform N-central abgeschaltet und Kunden mit eigenen Servern gebeten, diese ebenfalls vom Netz zu nehmen.[1] Auslöser war ein GitHub-Archiv mit 33 mutmaßlichen Sicherheitslücken, N-able selbst spricht von mehr als 30.[1][2]
Das Wichtigste in Kürze
- N-able nahm die gehostete Plattform N-central am 9. November vom Netz, Kunden mit eigenen Servern sollten folgen.
- Ein Forscher hatte 33 mutmaßliche Sicherheitslücken mit Beispielcode veröffentlicht.
- Die gehosteten Umgebungen sind seit dem 11. November aktualisiert, eigene Server brauchen das Update samt Upgrade-Anleitung.
- Anwender von N-central sollten Zugangsdaten und Administratoraktivität prüfen.
Was steht in dem veröffentlichten Archiv?
Veröffentlicht hat es das GitHub-Konto „Oracle-Security“ unter dem Namen Able2Shell.[1] Laut Field Effect lässt sich ein XML-Fehler (XXE) ohne Anmeldung zur Ausführung fremden Codes ausbauen.[1] GovInfoSecurity nennt zudem Diebstahl von Zugangsdaten, neue Administratorkonten und Befehle mit Root-Rechten.[2]
N-able beklagte eine „öffentliche Offenlegung und nicht verantwortungsvolle Kommunikation“ kritischer Schwachstellen. Sprecherin Sarah Toomey erklärte, N-able habe bisher keine aktive Ausnutzung beobachtet.[3] Field Effect berichtet dagegen, Angreifer hätten kurz nach Erscheinen des Codes begonnen, verwundbare Systeme zu scannen.[1]
Warum trifft eine Sicherheitslücke in der Fernwartung so viele Firmen?
N-central hält bei IT-Dienstleistern die Zugänge zu den Kundennetzen: Skripte, Fernsitzungen und Software-Verteilung laufen über eine Oberfläche. Wie das endet, zeigte 2021 der Angriff über Kaseya VSA, als Ransomware über die Fernwartung eines Dienstleisters bei dessen Kunden landete.
Für N-able ist es kein erster Vorfall. Seit dem 1. August hat der Hersteller laut GovInfoSecurity bereits fünf Notfall-Hotfixes veröffentlicht, im August wurde ein Ransomware-Stamm mit der China-nahen Gruppe Storm-1175 in Verbindung gebracht, die offenbar eine kritische N-able-Sicherheitslücke nutzte.[2] Verwaltungswerkzeuge geraten oft ins Visier, zuletzt bei FortiManager und FortiAnalyzer.
Die Fernwartung ist der Generalschlüssel eines IT-Dienstleisters. Geht er verloren, haben Angreifer die Schlüssel zu all seinen Kunden.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber und Kunden jetzt tun?
N-able stellte am 10. November den Hotfix 2026.4 HF2 bereit, am 11. November waren laut Field Effect alle gehosteten Umgebungen in allen Regionen aktualisiert.[1] Betreiber eigener Server sollen laut N-able auf die neue Version wechseln und der Upgrade-Anleitung folgen. Field Effect rät außerdem, die Verwaltungsoberfläche nur aus einem Admin-Netz erreichbar zu machen, Anmelde-, Admin- und Skriptaktivität vor der Abschaltung zu prüfen und bei Auffälligkeiten Zugangsdaten zu erneuern.[1]
Unternehmen, die einen Dienstleister mit N-central beauftragen, fragen dort nach: Welche Instanz läuft, wann wurde aktualisiert? Nach Artikel 28 DSGVO arbeitet der Dienstleister als Auftragsverarbeiter, die Verantwortung für die Daten bleibt beim Auftraggeber. Die EU-Richtlinie NIS2 zählt Managed Service Provider selbst zu den regulierten Einrichtungen, mit Meldepflichten für erhebliche Sicherheitsvorfälle. Grundlagen für kleine Betriebe: Cybersecurity Grundlagen.
Quellen
3 Quellen anzeigenQuellen ausblenden
- Field EffectN-central offline: alleged zero-days (Stand 11.11.2026)
- GovInfoSecurityN-able Takes Platform Offline After 33 Zero-Days Drop
- TechTargetN-able takes N-central platform offline after zero-day dump
Mehr Newshunger?
- Kritische Sicherheitslücke in FortiManager und FortiAnalyzer
- Kritische Cisco-Sicherheitslücke: Schadsoftware liest die Schlüssel zwischen Firmenstandorten mit
- Palo-Alto-Firewalls: Angreifer nutzen eine Root-Lücke im Verwaltungszugang aus
- Arista: Angreifer nutzen die dritte kritische VeloCloud-Sicherheitslücke seit Juli
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- VulnCheck: Nur 2 von 442 Anthropic-CVEs werden ausgenutzt
