La CISA ha incluido en su catálogo de vulnerabilidades explotadas una falla de severidad máxima en la plataforma de gestión remota N-central de N-able. El error, identificado como CVE-2026-86218, posee una puntuación CVSS perfecta de 10.0 y permite la ejecución remota de código sin autenticación, lo que confirma que los atacantes ya están aprovechando este fallo en objetivos reales.

La Agencia de Seguridad de Infraestructura y Ciberseguridad ha añadido un fallo de severidad máxima en la plataforma de gestión y monitoreo remoto N-central de N-able a su catálogo de Vulnerabilidades Explotadas Conocidas, confirmando que los atacantes están abusando activamente de este error contra objetivos reales.

La vulnerabilidad, seguida como CVE-2026-86218, tiene una puntuación CVSS perfecta de 10.0 y permite la ejecución remota de código sin autenticación, lo que la convierte en uno de los fallos más peligrosos que han afectado al ecosistema de proveedores de servicios gestionados este año.

CISA clasifica la CVE-2026-86218 como una vulnerabilidad de inyección de código estático vinculada a CWE-96, lo que significa que los atacantes pueden inyectar directivas maliciosas en código ejecutable guardado estáticamente en el servidor de N-central.

Vulnerabilidad de RCE de N-able N-central

Debido a que el fallo no requiere autenticación ni interacción del usuario, cualquier actor de amenazas con acceso de red a una instancia expuesta de N-central podría ejecutar comandos arbitrarios, dándoles un punto de apoyo no solo en la plataforma misma, sino en cada endpoint final que un MSP gestione a través de ella.

El error fue reportado a N-able a través del programa de divulgación responsable de la empresa y afecta a todas las versiones de N-central locales anteriores a la versión 2026.3.1.14, abarcando las líneas de lanzamiento 2025.4, 2026.1, 2026.2 y 2026.3, incluyendo sistemas que ya habían aplicado correcciones rápidas anteriores en el mismo ciclo de lanzamiento.

N-able lanzó el Hotfix 4 para N-central 2026.3 los días 5 y 6 de septiembre de 2026, llevando los despliegues locales a la compilación 2026.3.1.14. Esto marcó la cuarta corrección de emergencia que la empresa emitió en cinco semanas, tras correcciones anteriores para problemas separados de evasión de autenticación y RCE rastreados como CVE-2026-86206 y CVE-2026-86207.

Los clientes de N-central alojados en la nube no necesitaron tomar ninguna medida ya que N-able parcheó esos entornos en el lado del servidor, pero se instó a los administradores de instalaciones locales a actualizar inmediatamente.

Aunque N-able afirmó inicialmente que no tenía confirmación de explotación en entornos de producción, la lista KEV de CISA y una investigación independiente de Huntress indican lo contrario, informando que al menos la instancia de N-central de un cliente fue comprometida el 4 de septiembre, dos días antes de que se lanzara el parche. CISA añadió el fallo a su catálogo el 8 de septiembre de 2026.

Bajo la Directiva Operativa Vinculante 26-04, las agencias civiles federales que ejecutan instancias afectadas de N-central tienen hasta el 11 de septiembre de 2026 para aplicar mitigaciones, y CISA está exigiendo un triaje forense en cualquier sistema que se encuentre expuesto antes del parcheo. La directiva también instruye a las agencias a seguir la guía de la BOD 26-04 para servicios en la nube o a dejar de utilizar el producto por completo si las mitigaciones no pueden aplicarse a tiempo.

Dado el uso generalizado de N-central entre los MSP que gestionan miles de redes de clientes finales, los equipos de seguridad deben tratar esto como una prioridad urgente para toda la organización en lugar de un ciclo de parcheo rutinario.

Debes actualizar las instancias locales a la versión 2026.3.1.14 inmediatamente, auditar la exposición a internet de tus servidores N-central y revisar los registros en busca de signos de compromiso que se remonten a principios de septiembre, ya que un servidor RMM comprometido puede servir como un único punto de entrada a toda una base de clientes.