N-able parchea su nube, pero sus clientes aún tienen trabajo por delante

N-able dio por completada esta madrugada la actualización de toda su nube de N-central, día y medio después de apagarla por completo en América, Europa y Asia-Pacífico. La nube vuelve con el parche de emergencia 2026.4 HF2, que corrige las más graves de las 33 vulnerabilidades críticas publicadas el domingo con exploits funcionales, pero el apagón no ha terminado para todos: los clientes que operan la plataforma en servidores propios siguen con la recomendación de mantenerlos desconectados hasta actualizar. N-central es una plataforma de monitorización y gestión remota (RMM) con la que los proveedores de servicios gestionados (MSP) administran los equipos y redes de sus clientes, así que el aviso no afecta a una sola empresa, sino a toda la cadena de servicios TI que descansa sobre ella.

El investigador, Sean Bales, publicó el material la noche del domingo 8 de noviembre sin avisar antes a la compañía, bajo el nombre de Able2Shell. Según el análisis de Huntress, las 33 vulnerabilidades se encadenan en cuatro exploits distintos: tres permiten ejecución remota de código y uno escalar privilegios hasta root. La cadena más grave parte de un fallo XXE sin autenticación en la función de importación de servicios, que permite robar una sesión local de confianza, restablecer la contraseña de una cuenta y ejecutar comandos en el servidor, además de crear una cuenta de administrador con credenciales controladas por el atacante. Los exploits se probaron contra la versión Appliance 2026.4.0.31, una preliminar, y el investigador cree que la mayoría afecta también a versiones anteriores.

Bales ha explicado a BleepingComputer por qué eligió la divulgación total: hace cinco o seis meses reportó a N-able dos ejecuciones remotas de código y una escalada de privilegios en otro producto de la compañía que, asegura, siguen sin parche, y en las últimas semanas envió hasta cinco correos de seguimiento sin respuesta, además de no recibir recompensa por aquellos avisos. Tras la publicación, fueron los directivos de N-able, CEO y CTO incluidos, quienes le contactaron para pedirle que retirara el repositorio.

El fabricante declaró el incidente crítico de seguridad y aseguró en un primer momento no haber observado explotación activa ni accesos no autorizados a datos. En su parte de la noche del martes 10 sí reporta actividad de escaneo asociada al código de explotación publicado, un paso previo que no equivale a explotación confirmada, y lanzó el parche de emergencia HF2, que llega con los CVE correspondientes ya publicados, además de anunciar un segundo parche adicional. Esta madrugada del miércoles completó la actualización de todas las regiones de su nube y el acceso se restaura de forma progresiva, con el incidente ya en vigilancia; a los clientes con servidores propios les sigue recomendando encarecidamente actualizar cuanto antes, siguiendo la guía oficial y sin restaurar el acceso normal hasta completarla. Sus servicios Ecoverse, por contra, operan con normalidad.

El año negro de N-central y el riesgo que arrastran los MSP

El episodio no llega en el mejor momento para la compañía. Solo este año, N-central ha encadenado varias vulnerabilidades críticas: en agosto, un fallo daba acceso total sin autenticación a la consola de administración y su primer parche resultó incompleto, y en septiembre otra vulnerabilidad con la máxima puntuación de gravedad fue explotada activamente antes de su corrección, según el seguimiento de Huntress. Es el patrón que convierte a los RMM en una de las piezas más delicadas de la cadena de suministro: quien controla la consola de un MSP controla, en cascada, a todos sus clientes. España lo tiene presente desde que los MSP se confirmaron como el eslabón clave que proteger y la semana pasada veíamos cómo los ataques a infraestructuras esenciales no dejan de escalar en Europa.

Publicar 33 puertas abiertas con sus llaves, sin dar tiempo a cerrarlas, es una forma de presión discutible que deja expuestos a miles de clientes que no tienen culpa de nada. Pero el fondo del asunto no es el modus operandi del investigador: es que un fabricante de una herramienta crítica ha preferido apagar su propia nube antes que arriesgarse a defenderla, y que los avisos que pudo atender hace meses volvieron convertidos en un repositorio público. Para los MSP españoles que dependen de N-central, la lección inmediata es operativa: tener un plan para cuando el proveedor que vigila tu parque es quien apaga la luz.

Más información | el aviso del fabricante sobre el incidente