N-central CVE-2026-86218: Jetzt auf HF4 Build 2026.3.1.14 patchen

N-able hat einen Hotfix für CVE-2026-86218 veröffentlicht, eine kritische Remote-Code-Execution-Schwachstelle ohne vorherige Authentifizierung in der N-central-Plattform für Fernüberwachung und -verwaltung. Das Unternehmen bewertet sie mit einem CVSS-4.0-Score von 10,0 und stuft sie als statische Code-Injection-Schwäche (CWE-96) ein. On-Premises- und selbst gehostete N-central-Instanzen müssen auf 2026.3 Hotfix 4, Build 2026.3.1.14 aktualisiert werden; die cloudgehosteten NCOD-Instanzen von N-able wurden vom Anbieter bereits gepatcht.

Umfang und Upgrade-Pfad

Die Schwachstelle betrifft alle vor 2026.3.1.14 veröffentlichten N-central-Builds, einschließlich der Server, die bereits Hotfix 3 (Build 2026.3.1.13) installiert haben; diesen Hotfix hatte N-able nur Stunden zuvor zur Behebung zweier nicht zusammenhängender Probleme bereitgestellt. Kunden mit 2025.4, 2026.1, 2026.2, 2026.3 oder 2026.3.1 Hotfix 1 oder 2 können direkt auf HF4 aktualisieren; bei älteren Versionen sollte zunächst auf eine unterstützte Version gewechselt und anschließend der Hotfix eingespielt werden. Da die Korrektur im N-central-Server selbst liegt, ist für den Schutz kein begleitendes Agenten-Upgrade erforderlich.

Dritte Schwachstelle in kurzer Zeit

CVE-2026-86218 wurde einen Tag, nachdem N-able zwei andere N-central-Probleme behoben hatte, offengelegt. Dazu zählte eine Umgehung des Zugriffskontrollfilters (CVE-2026-86206), die interne APIs offenlegen konnte, die extern nicht erreichbar sein sollten; dieses Paar stand im Zusammenhang mit der Entdeckung eines erneut kompromittierten Kundenservers. Nach Angaben von N-able wurde CVE-2026-86218 über das eigene Security-Disclosure-Programm verantwortungsvoll offengelegt.

Widersprüchliche Berichte zur Ausnutzung

Die offizielle Position von N-able lautet, dass keine Bestätigung für eine Ausnutzung der Schwachstelle in Produktivumgebungen vorliegt; das Unternehmen rät jedoch, ungepatchte Systeme als gefährdet zu behandeln. Die Berichterstattung über die Offenlegung ist in diesem Punkt uneinheitlich – einige Beiträge beschreiben die Schwachstelle auf Grundlage von N-ables eigenen Aussagen als aktiv ausgenutzt, während der Incident-Responder Huntress angibt, die Schwachstelle seit dem Update vom 6. September weder unabhängig reproduziert noch ihr neue Kompromittierungen zugeordnet zu haben. MSPs sollten unter der Annahme eines Risikos patchen, statt zu warten, bis eine Ausnutzung eindeutig bestätigt oder ausgeschlossen ist.

Da die Schwachstelle vor der Authentifizierung ausnutzbar ist, stellt eine aus dem Internet erreichbare N-central-Konsole den primären Angriffspfad dar. Während das Upgrade geplant wird, ist die Einschränkung des eingehenden Zugriffs auf die Konsole ein sinnvoller Zwischenschritt. Es handelt sich um die dritte N-central-Offenlegung innerhalb weniger Wochen; das HF4-Upgrade sollte daher als Teil einer umfassenderen Versionsprüfung und nicht als einmaliger Patch betrachtet werden.

Quellen: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.