N-central: N-able publica una actualización crítica tras la difusión de exploits contra su plataforma RMM

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

N-able ha publicado N-central 2026.4 HF2, una actualización crítica que corrige siete CVE, después de que un investigador difundiera código de explotación contra su plataforma de gestión remota. El fabricante observa escaneos y pide a los clientes locales que aíslen sus servidores de Internet hasta tener la versión 2026.4.1.26.

Qué ha pasado

El 9 de noviembre de 2026, un investigador publicó detalles y pruebas de concepto de una serie de vulnerabilidades en N-central, la plataforma de supervisión y gestión remota (RMM) de N-able que muchos proveedores de TI usan para administrar los equipos y servidores de sus clientes. Según The Hacker News, se trata de más de 30 fallos agrupados bajo el nombre Able2Shell, y N-able desconectó brevemente su entorno alojado mientras pedía a los clientes locales que apagaran sus servidores. N-able afirma que los fallos no le llegaron por sus canales habituales de notificación.

El 10 de noviembre, N-able publicó N-central 2026.4 HF2 (build 2026.4.1.26), descrita como una actualización de seguridad crítica. Corrige siete CVE, entre ellas inyecciones OGNL (CVE-2026-125878, CVSS v4 8,7), ejecución de código por recorrido de rutas al subir archivos al repositorio (CVE-2026-125882, 8,6), XXE, SSRF, XSS almacenado y dos escaladas de privilegios locales, una de ellas hasta root. En una publicación del 11 de noviembre, N-able asegura que todos los fallos explotables sin autenticación están corregidos; el resto exige una cuenta, a menudo privilegiada, y llegará en próximos hotfixes.

Quién está en riesgo

Todos los servidores N-central anteriores a 2026.4.1.26, empezando por los locales accesibles desde Internet. N-able informa de escaneos vinculados al código de explotación publicado y de ninguna señal de compromiso en sus servidores alojados, ya actualizados y de nuevo en línea; no se pronuncia sobre las instalaciones locales. El 12 de noviembre, según The Hacker News, N-able indicó que analizaba una nueva publicación contra HF2 que, en su primera evaluación, requiere que la Legacy API esté activada y expuesta a Internet, algo que no viene configurado por defecto.

Qué hacer ahora

1. Corte el acceso a Internet del servidor N-central hasta actualizarlo, como recomienda N-able.
2. Actualice a 2026.4.1.26; los servidores anteriores a 2025.4 deben pasar antes a una versión soportada.
3. Actualice los Agents y luego las Probes, tanto en alojado como en local.
4. Compruebe que la Legacy API está desactivada o, al menos, inaccesible desde Internet.
5. Revise cuentas y registros desde el 9 de noviembre: administradores desconocidos, subidas inesperadas al repositorio de archivos, scripts enviados a los equipos.
6. Si un proveedor gestiona sus equipos con N-central, pregúntele por escrito qué versión usa y si la consola está expuesta.

Nota: HF2 desactiva temporalmente el control remoto integrado; Take Control sigue funcionando.

Nuestra opinión

Una consola RMM puede ejecutar código en todas las máquinas que gestiona: tomarla equivale a alcanzar de golpe a todas las empresas que dependen de ella. Debe estar detrás de una VPN o de una lista de IP permitidas, nunca abierta en Internet, y sus actualizaciones merecen la misma urgencia que las de un cortafuegos.

Fuentes

• N-able — Update on N-central 2026.4 HF2 and ongoing security response
• N-able Status — N-central 2026.4 HF2 Release Notes
• CVE Program — CVE-2026-125878, Multiple OGNL Injection vulnerabilities
• The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits
• The Hacker News — New N-central Exploits Work Against Patched Servers

Cómo elegimos, verificamos y redactamos nuestros análisis →