N-able hat am 6. September 2026 ein Hotfix für N-central veröffentlicht, das eine kritische Lücke mit Codeausführung vor der Anmeldung schliesst. Am 8. September nahm die US-Behörde CISA CVE-2026-86218 in ihren Katalog ausgenutzter Lücken auf. On-Premises-Betreiber müssen auf Build 2026.3.1.14 wechseln, gehostete Instanzen sind bereits gepatcht.
Ein Angriff ohne Anmeldung genügt, um einen N-central-Server zu übernehmen. Die US-Behörde CISA führt die Lücke seit dem 8. September 2026 als ausgenutzt, und Betreiber eigener Server müssen jetzt aktualisieren.
Das Wichtigste in Kürze
- Das Hotfix 4 für N-central 2026.3 schliesst die Lücke CVE-2026-86218. Der Build trägt die Nummer 2026.3.1.14.
- Ein Angriff braucht keine Anmeldung. N-able beschreibt eine Codeausführung auf dem Server vor jeder Authentifizierung und stuft die Lücke als kritisch ein.
- CISA hat die Lücke am 8. September in ihren Katalog aufgenommen. Die Frist für US-Behörden endet am 11. September.
- Gehostete Instanzen sind bereits gepatcht. Handeln müssen Betreiber eigener Server.
Was N-able und CISA melden
So hat N-able die Meldung am 6. September 2026 veröffentlicht und seither nicht erkennbar geändert. Die Lücke wurde über das Sicherheitsprogramm des Herstellers durch Dritte gemeldet. Zum Zeitpunkt der Meldung schrieb N-able, es gebe keine Bestätigung für eine Ausnutzung im Produktivbetrieb, ungepatchte Systeme blieben aber gefährdet.
Zudem kam zwei Tage später die Wende: CISA nahm CVE-2026-86218 am 8. September 2026 in den Katalog bekannter ausgenutzter Schwachstellen auf. Dabei beschreibt der Katalog eine statische Codeeinschleusung (CWE-96), die Codeausführung vor der Anmeldung erlaubt. Zudem vermerkt CISA, dass Betroffene eine forensische Analyse (Forensic Triage) durchführen sollen. Die Aufnahme gilt als Hinweis auf aktive Angriffe.
| Angabe | Wert | Bedeutung |
|---|---|---|
| Betroffen | Alle Versionen vor 2026.3.1.14 | Direkte Updatepfade von 2025.4, 2026.1, 2026.2, 2026.3 sowie Hotfix 1 und 2 |
| Behoben in | 2026.3.1.14 (Hotfix 4) | Einspielen auf dem Server |
| Gehostet (NCOD) | Bereits gepatcht | Keine Aktion nötig |
| Agenten | Update empfohlen, nicht erforderlich | Für diese Lücke nicht Voraussetzung |
Quelle: N-able Security Advisory vom 6. September 2026.
Warum diese Plattform so heikel ist
Dabei steuert N-central als RMM-Plattform Endpunkte in vielen Kundenumgebungen. Deshalb wirkt eine Lücke im Server wie ein Risiko für alle angebundenen Geräte. Dienstleister trifft das doppelt: das eigene Unternehmen und jeden Kunden.
Was Admins jetzt tun
- Prüfe den Build deines N-central-Servers und installiere 2026.3.1.14, wenn er älter ist.
- Suche nach dem Update in den Serverlogs nach ungewöhnlichen Zugriffen und neuen Prozessen.
- Kontrolliere auch verwaltete Endpunkte auf unbekannte Skripte, Dienste oder Konten.
- Verschiebe das Update nicht auf den nächsten Wartungstag, denn die Frist von CISA lag bei drei Tagen.
Eine ähnliche Lage zeigt der Beitrag zu den MikroTik-RouterOS-Lücken: Verwaltungs- und Netzzugänge sind beliebte Ziele.
Fazit
Die Lücke trifft das Herz einer Fernverwaltung und wird laut CISA ausgenutzt. Hotfix 4 behebt den Fehler im Server, doch ein bereits kompromittiertes System macht er nicht sauber. Deshalb gehören Update und Kontrolle der Logs zusammen.
Quellen: N-able Security Advisory, CISA-Katalog bekannter ausgenutzter Lücken. Foto: TBIT / Pixabay. Stand: 8. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.