Ein Patch, der keiner war: Wer glaubte, seine IT-Fernwartung mit dem ersten Update abgesichert zu haben, muss jetzt noch einmal ran. In der weit verbreiteten RMM-Plattform N-able N-central klafft eine kritische Lücke, die Angreifer bereits aktiv ausnutzen — und der erste Fix schloss nur die halbe Tür.
NOTFALL: God-Mode für Angreifer
Die Schwachstelle trägt die Kennung CVE-2026-18556 und ist mit einem CVSS-Wert von 9,8 nahe am Maximum. Es handelt sich um einen Authentifizierungs-Bypass: Ein Angreifer aus der Ferne, ganz ohne gültige Zugangsdaten, kann sich Administratorrechte auf einem verwundbaren N-central-Server verschaffen. Sicherheitsforscher sprechen von „God-Mode“-Zugriff.
Das ist bei einer Fernwartungs-Software besonders brisant. N-central steuert nicht nur einen Rechner, sondern ganze Kundennetze von IT-Dienstleistern. Wer den Server kapert, sitzt an einem Generalschlüssel für viele Firmen zugleich.
GEFAHR: Der erste Fix ließ eine Hintertür offen
N-able hatte den ursprünglichen Angriffsweg in Version 2026.2 geschlossen. Doch die Angreifer fanden einen alternativen Pfad, den der erste Patch nicht abdeckte. Dieser zweite Weg bekam eine eigene Kennung: CVE-2026-18577. Er erlaubte weiterhin Authentifizierungs-Bypass und Konto-Übernahme in allen Versionen bis einschließlich 2026.3.1.
Erst der Build 2026.3.1.7, ausgeliefert am 2. August, gilt als erste wirklich unbetroffene Version. N-able drängt alle Kunden, ohne Verzögerung zu aktualisieren.
So kamen die Angreifer weiter
Nach der Übernahme eines Servers nutzten die Täter die eingebaute Funktion Take Control, um auf die verwalteten Endgeräte zu springen. Dort registrierten sie Cloudflare-Tunnel als Dienste — ein Trick, um dauerhaft und unauffällig Zugriff zu behalten. Die Fernwartung wurde so vom Werkzeug des Admins zum Werkzeug des Angreifers.
WICHTIG: So prüfst du deine Systeme
N-able nennt klare Warnzeichen. Achte auf eine svchost.exe im Dokumente-Ordner von Benutzerkonten — dort gehört diese Datei nie hin. Suche nach einem Dienst namens Cloudflared, den du nicht selbst eingerichtet hast. Und gleiche den Netzwerkverkehr mit den veröffentlichten Angreifer-IPs ab.
Findest du eines dieser Zeichen, ist Patchen allein zu wenig. Dann heißt es: Zugangsdaten rotieren, verwaltete Geräte genau untersuchen und im Zweifel den Vorfall wie eine echte Kompromittierung behandeln.
FAZIT: Fernwartung ist ein bevorzugtes Ziel
Dieser Fall zeigt einmal mehr, warum RMM- und Management-Server bei Angreifern so beliebt sind. Sie sind der Hebel, mit dem sich aus einer Lücke viele Opfer machen lassen. Wer solche Werkzeuge betreibt, sollte Updates dieser Kategorie nicht als Routine behandeln, sondern als Alarm mit höchster Dringlichkeit — und einen halbfertigen Patch niemals mit einem fertigen verwechseln.