N-able desconecta N-central tras la publicación de más de 30 exploits de día cero

N-able desconectó sus entornos N-central alojados en todo el mundo el 9 de noviembre de 2026, después de que el investigador de seguridad Sean Bales publicara más de 30 presuntas vulnerabilidades de día cero en la plataforma de monitorización y gestión remota (RMM), incluidas cadenas de explotación que permiten a un atacante crear una cuenta de administrador y ejecutar comandos como root. N-able confirmó el incidente a las 15:15 UTC y pidió a los clientes que ejecutan servidores N-central on-premise que los apaguen hasta nuevo aviso.

N-central es la columna vertebral que muchos proveedores de servicios gestionados (MSP) usan para administrar de forma remota las redes de sus clientes: instalar parches, desplegar software y monitorizar equipos en docenas o cientos de organizaciones clientes desde una sola consola. Esa concentración de acceso es precisamente lo que ha convertido a las plataformas RMM en un objetivo favorito de las bandas de ransomware desde el ataque a Kaseya VSA en 2021, cuando una sola herramienta comprometida propagó malware a unas 1.500 empresas en un solo fin de semana. Un agujero nuevo y sin parchear en N-central conlleva el mismo riesgo de punto único de fallo para cada cliente de MSP que depende de él.

Bales publicó sus hallazgos en LinkedIn la noche del domingo 8 de noviembre y subió código de prueba de concepto a un repositorio de GitHub que llamó «Able2Shell». Dijo a BleepingComputer que las vulnerabilidades se descubrieron con asistencia de inteligencia artificial y se probaron contra N-central Appliance 2026.4.0.31, una versión preliminar, aunque cree que la mayoría de los fallos también afectan a versiones anteriores actualmente en uso. La cadena más grave explota un fallo de entidad externa XML (XXE) sin autenticación en la función de importación de servicios para robar una sesión local de confianza, restablecer una contraseña y ejecutar comandos como la cuenta de servicio nable; el mismo error también puede crear una cuenta de administrador habilitada y controlada por el atacante. Un fallo independiente de cross-site scripting almacenado permite ejecutar comandos como root en el momento en que un administrador visualiza metadatos de parches manipulados, y un tercer fallo escala privilegios de la cuenta nable directamente a root.

N-able afirma que no ha observado explotación activa de ninguna de las vulnerabilidades reveladas y que está trabajando en un hotfix, con actualizaciones de estado prometidas cada cuatro horas. Sería el quinto ciclo de parche de emergencia de la empresa desde el 1 de agosto, tras una serie de vulnerabilidades de N-central este año que incluyó un fallo de ejecución remota de código previo a la autenticación, de máxima gravedad y explotado activamente, parcheado en septiembre.

Bales dice que se saltó la divulgación coordinada porque N-able había dejado sin atender dos errores de ejecución remota de código no relacionados y un fallo de escalada de privilegios que reportó en otro producto de la empresa cinco o seis meses antes, ignorando varios correos de seguimiento y sin pagar ninguna recompensa por el hallazgo. «No se toman en serio la divulgación», dijo a BleepingComputer. Añadió que el CEO y el CTO de N-able lo contactaron tras la publicación en GitHub para pedirle que retirara el repositorio, pero que la empresa no lo amenazó. N-able no respondió a las preguntas sobre los informes anteriores sin parchear.

Para los MSP, la solución inmediata es sencilla pero costosa: desconectar N-central, tal como recomienda la propia N-able, hasta que se publique el hotfix. El problema de fondo es el patrón que hay detrás: una plataforma que gestiona la seguridad de miles de empresas dependientes ha publicado cinco parches de emergencia en tres meses, y su propio investigador afirma que informes no relacionados quedaron sin respuesta durante medio año. Cada nuevo ciclo de divulgación debilita el argumento para canalizar tanto acceso a través de una única consola que necesita parches con tanta frecuencia.

Según informó BleepingComputer.