N-able ha revelado una vulnerabilidad de seguridad crítica en su plataforma de gestión y monitoreo remoto (RMM) N-central. Este fallo permitiría que atacantes no autenticados obtengan un acceso administrativo total (conocido como "modo dios") a la consola RMM. El problema afecta a todas las versiones compatibles de N-central, tanto en despliegues en la nube como locales, y se ha confirmado que está siendo explotado activamente.

N-able ha revelado una vulnerabilidad de seguridad crítica en su plataforma de monitoreo y gestión remota (RMM) N-central, que podría permitir a atacantes no autenticados obtener acceso administrativo completo, o "modo dios", a la consola RMM.

Este problema afecta a todas las versiones de N-central actualmente soportadas, incluidas las implementaciones tanto en la nube como locales, y está siendo explotado activamente.

La vulnerabilidad está registrada como CVE-2026-18577 y sigue a un aviso anterior para CVE-2026-18556; según la descripción de CVE citada por Huntress, una corrección incompleta del problema anterior permitió la omisión de la autenticación y la toma de control de cuentas en versiones de N-central hasta la 2026.3.1.

Esto significa que un atacante remoto podría potencialmente acceder a la plataforma de gestión sin credenciales válidas y asumir los privilegios normalmente reservados para los administradores de proveedores de servicios gestionados (MSP) y equipos de ingeniería.

Los proveedores de servicios gestionados utilizan ampliamente N-central para monitorear, parchear, automatizar y controlar remotamente los endpoints de los clientes. Como resultado, comprometer un solo servidor de N-central puede provocar un incidente de cadena de suministro de alto impacto que afecte a muchas organizaciones downstream.

Un atacante con acceso a nivel de consola podría ejecutar scripts, desplegar herramientas, crear tareas, cambiar roles y políticas, o iniciar sesiones de control remoto contra servidores y estaciones de trabajo gestionadas a través de la plataforma.

Vulnerabilidad de N-ABLE N-CENTRAL

En respuesta a esta vulnerabilidad, N-able lanzó la versión de corrección urgente 2026.3.1.7 el 2 de agosto e instó a los clientes a actualizar inmediatamente. La página de estado del proveedor indica que esta actualización soluciona la CVE-2026-18577 y admite actualizaciones desde las versiones 2025.4, 2026.1, 2026.2 y 2026.3.

Si usas versiones más antiguas, primero debes hacer la transición a una ruta de actualización soportada antes de aplicar la corrección. Huntress ha informado haber observado explotaciones que afectan al menos a una organización dentro de su base de clientes.

Su investigación sugiere que los atacantes pueden hacer mal uso de la función "Take Control" de N-central para pivotar hacia sistemas gestionados y desplegar túneles basados en Cloudflare para obtener acceso persistente. Aún no se han publicado los detalles completos de la causa raíz, por lo que debes considerar que la guía de detección disponible seguirá evolucionando.

Se recomienda a los administradores priorizar la aplicación de parches y minimizar la exposición durante el proceso de actualización. Las consolas de N-central no deben ser ampliamente accesibles desde la internet pública. Debes limitar el acceso mediante reglas de firewall, rangos de IP conocidos, conexiones VPN y el inicio de sesión único (SSO) cuando esté disponible.

Además, se debe imponer la autenticación multifactor (MFA) para cada cuenta de N-central. Sin embargo, es importante que notes que la MFA por sí sola no mitiga los riesgos asociados con una vulnerabilidad de omisión de autenticación.

Los equipos de seguridad deben revisar las actividades de inicio de sesión, cuentas, tareas y control remoto de N-central en busca de anomalías. Los eventos de alta prioridad a monitorear incluyen cuentas de administrador desconocidas, cambios de privilegios inesperados, tareas de automatización masivas, horarios de acceso inusuales y sesiones remotas dirigidas a infraestructura crítica, como controladores de dominio y servidores de archivos.

Los investigadores de endpoints pueden examinar los registros relacionados con "Take Control" en el directorio C:\ProgramData\GetSupportService_N-Central\Logs\, teniendo en cuenta que estos registros también pueden ser generados por actividad de soporte legítima.

N-able y Huntress han identificado varias direcciones IP y dominios sospechosos para investigar. Sin embargo, no debes confiar únicamente en el bloqueo de estos indicadores, ya que los atacantes pueden cambiar rápidamente su infraestructura.

Cualquier conexión sospechosa a una consola de N-central debe activar una revisión de respuesta a incidentes que incluya una evaluación de los endpoints, cuentas, scripts y sesiones remotas afectadas tras la presunta intrusión.

Fuentes:
https://cybersecuritynews.com/n-able-n-central-vulnerability/