Nach Angaben von N-able wurden die kritischen Lücken in der Nacht zum Sonntag, dem 8. November, von einem unabhängigen Forscher auf nicht verantwortungsvolle Weise bekanntgemacht. Als Vorsichtsmaßnahme habe man am 9. November die gehostete N-central-Umgebung abgeschaltet und Kunden mit eigenen On-Premises-Servern geraten, diese bis auf Weiteres ebenfalls vom Netz zu nehmen. Mit N-central verwalten und überwachen IT-Abteilungen und Managed Service Provider (MSPs) Netzwerke und Geräte ihrer Kunden über eine zentrale webbasierte Konsole.

Der Hotfix behebt einen Teil der veröffentlichten Lücken, darunter laut N-able die kritischsten:

  • CVE-2026-125883: mehrere XXE-Schwachstellen
  • CVE-2026-125878: mehrere OGNL-Injection-Schwachstellen
  • CVE-2026-125879: lokale Rechteausweitung auf Root über eine vom Nutzer nable beschreibbare syslog-ng-Konfiguration
  • CVE-2026-125880: Stored XSS über Patch-Metadaten von MMS3 (im Administratorkontext)
  • CVE-2026-125881: SSRF über Schema-Hinweise bei der Schema-Validierung des Service-Imports
  • CVE-2026-125882: Remote Code Execution über Path Traversal beim Upload ins Datei-Repository (entdeckt von Nate Fair, Sprocket Security)
  • CVE-2026-91000: unsichere IPC-Kanäle, die eine lokale Rechteausweitung ermöglichen

Am Dienstag teilte N-able mit, alle gehosteten N-central-Server (NCODs) seien in sämtlichen Regionen erfolgreich aktualisiert. Kunden mit On-Premises-Installationen empfiehlt der Hersteller nachdrücklich, so schnell wie möglich auf die neue Version zu wechseln. Vor der Wiederherstellung des normalen Zugriffs sollten sie die veröffentlichte Upgrade-Anleitung genau befolgen; die frühere Empfehlung lautete, die Server offline zu halten, solange an einer Lösung gearbeitet wurde.

N-able hat bislang keine aktive Ausnutzung gemeldet. Das Threat-Intelligence-Unternehmen Defused beobachtete jedoch am Dienstag, dass Angreifer bereits nach verwundbaren Systemen suchen, und rief Administratoren auf, N-central-Server sofort abzuschalten. In den vergangenen 24 Stunden habe man Sondierungen gegen N-central mit Blick auf die tags zuvor veröffentlichten Zero-Days festgestellt, so Defused: Es seien anonyme Agent-Sitzungen geöffnet, Appliance-Konfigurationen abgerufen und der Fernsteuerungs-Endpunkt ohne Authentifizierung angesprochen worden. Diese Wege gehörten zur Angriffsfläche der Zero-Day-Exploits. Die gemeinnützige Organisation Shadowserver zählt derzeit gut 148 aus dem Internet erreichbare N-central-Server, nach 1.338 am Montag.

Veröffentlicht hat die Lücken der Sicherheitsforscher Sean Bales, der dazu das GitHub-Repository Able2Shell mit Proof-of-Concept-Exploits bereitstellte. Betroffen ist nach seinen Angaben N-central Appliance 2026.4.0.31, eine Vorabversion; er geht davon aus, dass die meisten, wenn nicht alle Lücken auch ältere Versionen betreffen. Zu den Schwachstellen zählen Remote Code Execution, Umgehung der Authentifizierung, Preisgabe von Zugangsdaten, beliebige Dateischreibzugriffe, Directory Traversal, XXE-Injection und Cross-Site-Scripting.

Bales demonstrierte zudem eine kritische Exploit-Kette, die ohne Anmeldung von XXE zur Codeausführung führt: Sie missbraucht die Service-Import-Funktion, um eine vertrauenswürdige lokale Sitzung zu stehlen, das Passwort des Zielkontos zurückzusetzen und Befehle als Nutzer nable auf dem Server auszuführen. Angreifer könnten damit auch ein Default-Administrator-Konto mit eigenen Zugangsdaten anlegen und so Administratorzugriff auf die Verwaltungsoberfläche erlangen.

Den Hersteller habe er nicht vorab informiert, erklärte Bales, weil N-able Lücken, die er vor etwa fünf bis sechs Monaten in einem anderen Produkt des Unternehmens gemeldet habe, nicht geschlossen habe – darunter zwei Remote-Code-Execution-Fehler und eine Rechteausweitung. Auf diese Vorwürfe ging N-able nicht ein und verwies stattdessen auf seine Erklärung zum Sicherheitsvorfall und zur vorsorglichen Abschaltung. Das Unternehmen bietet Werkzeuge für Fernüberwachung, Cybersicherheit und Datensicherung für MSPs und Unternehmens-IT an und zählt nach eigenen Angaben mehr als 500.000 Organisationen in über 140 Ländern zu seinen Kunden.