Sicherheit · 15. November 2026
Auch veröffentlicht auf 한국어, Español, Italiano, Svenska, Français, Nederlands, Русский, हिन्दी, Português (Brasil)
Angreifer nutzen N-able-Schwachstelle 4EverAble2Shell aktiv aus
Angreifer nutzen eine neu offengelegte Nulltag-Schwachstelle in der N-able N-central-Plattform aktiv aus, um Server zu kompromittieren und Kryptowährungs-Miner zu installieren. Sicherheitsforscher berichten von mindestens 21 betroffenen Systemen, darunter 19, die das neueste Sicherheitsupdate des Unternehmens ausführen.
Die Angriffe erfolgten unmittelbar nach der Veröffentlichung von zwei neuen Nulltag-Exploits durch den Sicherheitsforscher Sean Bales. Diese Exploits, benannt als 4EverAble2Shell und Agent2Shell, ermöglichen Angreifern laut Bales den Erwerb von Root-Zugriff auf N-central-Appliances sowie SYSTEM-Zugriff auf Windows-Systeme. Die Schwachstellen wurden am 12. November offengelegt, nur zwei Tage nachdem N-able Notfall-Sicherheitsupdates zur Behebung kritischer Nulltag-Schwachstellen veröffentlicht hatte, die Bales zuvor in dieser Woche öffentlich gemacht hatte.
N-central ist eine Plattform für Remote-Monitoring und -Verwaltung, die von Managed Service Providern und IT-Teams genutzt wird, um Kundengeräte und -netzwerke zu überwachen und zu sichern. Bales veröffentlichte Proof-of-Concept-Exploits für beide Schwachstellen und erklärte, diese seien gegen die N-central-Appliance Version 2026.4.1.26 HF2 getestet worden, das Sicherheitsupdate, das N-able am 10. November veröffentlicht hatte. Der Exploit 4EverAble2Shell ermöglicht nicht authentifizierten Angreifern, Befehle als Root auf verwundbaren Servern auszuführen, erfordert jedoch, dass die Legacy-API-Funktionalität der Plattform aktiviert ist.
Der Angriff kombiniert eine Apache-Axis-Schwachstelle, die als CVE-2026-90436 geführt wird, mit einer separaten N-central-Privilegieneskalationsschwachstelle, um Root-Zugriff zu erlangen. Der zweite Exploit, Agent2Shell, zielt auf die Agentenfunktionalität von N-central ab und soll es Angreifern ermöglichen, Befehle mit SYSTEM-Privilegien auf Windows-Geräten auszuführen. Diese Offenlegungen erfolgten, nachdem N-able seine gehosteten N-central-Umgebungen zuvor in dieser Woche offline genommen und Kunden mit On-Premises-Installationen aufgefordert hatte, ihre Server herunterzufahren, nachdem Bales mehr als 30 behauptete Nulltag-Schwachstellen veröffentlicht hatte.
Bales kritisierte den Umgang von N-able mit den Schwachstellenoffenlegungen und die langsame Reaktion des Unternehmens auf das Patchen verantwortungsvoll gemeldeter Fehler. Er erklärte, es sei für ihn viel einfacher, seine Forschung zu veröffentlichen und dem Anbieter zu überlassen, was er damit tun und was er beheben möchte. Bales gab an, dass N-able zwei nicht zusammenhängende Remote-Code-Execution-Schwachstellen in einem anderen N-able-Produkt nicht gepatcht habe, die er dem Unternehmen im Juli zuvor gemeldet hatte.
In einem Sicherheitsbulletin vom 12. November erklärte N-able, es implementiere zusätzliche Schutzmaßnahmen als Reaktion auf die neuen Offenlegungen. Dazu gehörten die Einschränkung bestimmter N-central-Funktionen und -Integrationen, während weitere Fixes entwickelt würden. Das Unternehmen erklärte, es habe keine Anzeichen für eine Kompromittierung durch die neuen Fehler gesehen, obwohl Sicherheitsforscher seitdem eine erfolgreiche Ausnutzung der Schwachstelle gegen produktive N-central-Server berichteten.
Die Cybersecurity-Firma Previdian teilte mit, dass Angreifer am 12. November, kurz nach der öffentlichen Veröffentlichung des Proof-of-Concept-Exploits, mit der Suche nach der 4EverAble2Shell-Schwachstelle begannen. Das Unternehmen beobachtete um etwa 08:30 Uhr UTC verdächtige Anfragen, die seine N-central-Honeypot-Instanz mit derselben Java-Klasse zielten, die im öffentlich veröffentlichten Exploit referenziert wurde. Später bestätigte Previdian, dass Angreifer versuchten, die vollständige Exploit-Kette gegen seinen Honeypot-Server auszuführen. Diese Kette nutzt zunächst die Apache-Axis-Schwachstelle CVE-2026-90436 aus, um Befehle als 'nable'-Dienstkonto auszuführen, und nutzt dann eine separate Privilegieneskalationsschwachstelle, um Root-Privilegien zu erlangen.
Die Cybersecurity-Firma Huntback berichtete ebenfalls, dass Angreifer bereits mindestens 21 produktive N-central-Server erfolgreich kompromittiert hatten. Huntback beobachtete dieselbe Angreifer-IP-Adresse wie Previdian, die um etwa 08:30 Uhr UTC am 12. November seine Honeypots abtastete, wobei die ersten Versuche, die vollständige Exploit-Kette auszuführen, um 09:16 Uhr UTC begannen. Die beobachteten Angriffe nutzten die 4EverAble2Shell-Exploit-Kette aus, um ein Shell-Skript herunterzuladen, das einen XMRig-Monero-Kryptowährungs-Miner installierte. Der Miner war so konfiguriert, dass er etwa die Hälfte der verfügbaren CPU-Kerne nutzte, vermutlich um das Mining schwerer zu erkennen.