La cadena zero-day de N-able pasa de prueba de concepto a 21 servidores comprometidos en cuestión de horas

Una cadena de exploits zero-day bautizada "4EverAble2Shell", dirigida contra la plataforma de monitorización y gestión remota N-central de N-able, pasó de prueba de concepto pública a explotación activa en entornos reales en cuestión de horas el 12 de noviembre, según los investigadores de seguridad Previdian y Huntback. La cadena combina una vulnerabilidad en un componente Apache Axis —registrada como CVE-2026-90436— con una debilidad de escalada de privilegios propia de N-central, catalogada por Previdian como VULN-2026-0009, que otorga a atacantes no autenticados acceso root en los servidores donde la Legacy API de N-central está habilitada.

Huntback informó que los atacantes comenzaron a sondear honeypots en torno a las 08:30 UTC y lanzaron intentos completos de la cadena de exploits a las 09:16 UTC; para las 12:50 UTC, la firma contabilizó 21 servidores minando activamente entre los hosts comprometidos, distribuidos entre Estados Unidos, Canadá, Sudáfrica, Reino Unido, Alemania, Francia y Suecia. Los ataques observados desplegaron el criptominero XMRig de Monero, descargando cargas desde un servidor en 157.20.241[.]16. Un exploit relacionado llamado "Agent2Shell", dirigido a la funcionalidad de Agent de N-central, supuestamente permite a los atacantes ejecutar comandos con privilegios de nivel SYSTEM en endpoints Windows gestionados —un detalle relevante dado que N-central es software RMM: existe precisamente para que los proveedores de servicios gestionados accedan y controlen la infraestructura de sus clientes, lo que convierte el compromiso de la propia plataforma en algo desproporcionadamente dañino.

Las pruebas de concepto provinieron del investigador de seguridad Sean Bales, quien a principios de noviembre publicó más de 30 supuestos zero-days de N-central y ha sido abiertamente crítico con el proceso de divulgación de N-able, afirmando que la empresa dejó sin parchear dos vulnerabilidades de ejecución remota de código que reportó en un producto diferente desde julio, sin abonar ninguna recompensa. Esa divulgación anterior obligó a N-able a desconectar sus entornos N-central alojados en todo el mundo; la compañía distribuyó el Hotfix 2 (versión 2026.4.1.26 HF2) el 10 de noviembre. A pesar del parche, Huntback descubrió que 19 de los 21 servidores comprometidos identificados ya ejecutaban esa misma versión con el hotfix aplicado, lo que indica que HF2 no cerró completamente la brecha.

El 12 de noviembre, N-able añadió mitigaciones adicionales: desactivó su integración con Intune, restringió ciertas funciones de la plataforma e instó a los clientes a verificar que la Legacy API —desactivada por defecto— permanece deshabilitada. La compañía afirma que hay correcciones adicionales en desarrollo, aunque no ha facilitado ningún plazo. El propio aviso de N-able informó inicialmente de que no había indicios de compromiso antes de que investigadores externos demostraran lo contrario, una secuencia que pone de manifiesto un problema recurrente en la seguridad de los RMM: dado que estas plataformas están diseñadas por naturaleza para un amplio alcance administrativo, la telemetría propia del fabricante puede pasar por alto explotaciones que el monitoreo del propio cliente detecta primero. Las organizaciones que ejecutan N-central deberían buscar solicitudes inesperadas a /dms/services/ServerUI que hagan referencia a jline.internal.TerminalLineSettings, un servicio xvd.service desconocido, procesos de minería inexplicados y archivos bajo /tmp/.xvd o /var/tmp/.xvd.