Kerngegevens
- Leverancier
- N-able
- Product
- N-central
- Soort software
- remote beheer
- Getroffen versies
- N-central t/m 2026.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- N-central 2026.3.1.10 (Hotfix 2), lost ook CVE-2026-18577 op
- CVE gepubliceerd
- 1 augustus 2026
- Op de KEV-lijst sinds
- 4 augustus 2026
- Gepubliceerd op LekkenRadar
- 24 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In N-central, het softwarepakket van N-able voor beheer op afstand, zit een fout in de inlogbeveiliging. Een aanvaller kan de authenticatie omzeilen door een alternatieve route of een ander kanaal te gebruiken, zonder dat daarvoor een account nodig is. Het lek staat sinds augustus 2026 op de lijst van actief misbruikte lekken van het Amerikaanse CISA. De ernst is hoog (8,2).
Wie loopt risico?
Je loopt risico als je N-central zelf host (on-premises) en nog niet hebt bijgewerkt naar 2026.3.1.10. De oplossing in 2026.2 bleek onvolledig (zie CVE-2026-18577). Een aanvaller heeft geen account nodig en kan via het netwerk beheerderstoegang tot de console krijgen. Omdat N-central wordt gebruikt om klantomgevingen op afstand te beheren, kan een aanvaller zo bij alle beheerde apparaten komen. Gehoste omgevingen zijn door N-able zelf bijgewerkt.
Wat moet je doen?
Werk bij naar 2026.3.1.10
Installeer N-central 2026.3.1.10 (Hotfix 2) of nieuwer. Deze versie vervangt Hotfix 1 (2026.3.1.7) en lost zowel dit lek als de restfout CVE-2026-18577 op. Gehoste omgevingen zijn al bijgewerkt door N-able.
Ga uit van mogelijk misbruik
Heb je de hotfix pas dagen na begin augustus geïnstalleerd, behandel je omgeving dan als mogelijk gecompromitteerd. Controleer alle gebruikersaccounts, rechten en activiteit, ook als de IOC-scanner van N-able niets vindt.
Zoek naar sporen
Let volgens N-able op: nieuwe of onverwacht gewijzigde accounts, ongebruikelijke Take Control-sessies, een dienst 'Cloudflared' op beheerde apparaten en een bestand svchost.exe in de map Documenten van een gebruiker.
Versterk de toegang
Dwing MFA af voor alle accounts, zet het ingebouwde supportaccount uit als er geen supportverzoek loopt en beperk de toegang tot de console tot vertrouwde netwerken.
Zie ook de restfout
De eerste oplossing was onvolledig. Lees ook CVE-2026-18577: https://lekkenradar.nl/cve/cve-2026-18577/
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een authenticatieomzeiling via een alternatief pad of kanaal (CWE-288) in N-able N-central. Via een route die niet door de normale authenticatiecontrole loopt, kan een aanvaller toegang krijgen zonder geldige inloggegevens. De kwetsbaarheid is via het netwerk te misbruiken, zonder voorafgaande rechten en zonder gebruikersinteractie. Volgens de CVSS 4.0-vector is de aanvalscomplexiteit hoog en is de impact vooral een groot verlies van vertrouwelijkheid. Getroffen zijn versies t/m 2026.1. Er is geen publiek exploit bekend in de gegevens en het lek is niet gekoppeld aan ransomware.
CVSS-vector (versie 4.0, basisscore 8,2, bron: CNA)
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-288 · Authenticatieomzeiling via een alternatief pad of kanaal
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 7,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 4 augustus 2026
- Deadline van CISA
- 7 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend