N-able ha lanzado N-central 2026.4 Hotfix 2 después de que la divulgación pública de 33 presuntas vulnerabilidades obligara al cierre mundial de su plataforma alojada de monitoreo y gestión remota.

Lanzada el 10 de noviembre, la actualización de emergencia, versión 2026.4.1.26, corrige siete CVE publicados y añade cambios de seguridad en el servidor, los Agentes y las Sondas.

El cierre comenzó el 9 de noviembre, afectando a los servicios alojados en las Américas, Europa y Asia-Pacífico. N-able también aconsejó a los clientes que ejecutan sus propios servidores que los desconectaran.

Previamente se informó sobre el cierre de N-central y la divulgación de Able2Shell, que incluía código público de prueba de concepto para ataques contra la plataforma.

Vulnerabilidades de N-able N-central

La investigación, publicada por Sean Bales a través de la cuenta de GitHub de Oracle-Security, describe cuatro cadenas de explotación. Huntress informó que tres podrían conducir a la ejecución remota de código, mientras que otra podría elevar el acceso de un atacante a nivel de root. La investigación se centró en N-central Appliance 2026.4.0.31, aunque versiones anteriores también podrían estar afectadas.

Una de las cadenas reportadas combina un fallo de entidad externa XML (XXE) con el abuso de sesiones confiables para restablecer la contraseña de una cuenta y ejecutar comandos como la cuenta de servicio de N-able.

Otras rutas involucran datos de parches maliciosos, debilidades en la carga de archivos y escalada de privilegios locales. Estas rutas son importantes porque N-central gestiona los dispositivos de los clientes, lo que hace que el acceso al servidor sea muy valioso para los atacantes.

N-able ha observado escaneos vinculados al código de explotación publicado, según su actualización de incidente. El escaneo por sí solo no establece que haya habido una brecha exitosa.

El informe actualizado de Huntress indica que los servidores alojados fueron actualizados y vueltos a poner en línea el 10 de noviembre. No debes tratar la restauración del acceso a la nube como prueba de que tus propios despliegues estén totalmente actualizados.

Las notas de lanzamiento oficiales de N-able enumeran correcciones para XXE, inyección OGNL, cross-site scripting almacenado, falsificación de solicitudes del lado del servidor (SSRF), salto de ruta de repositorio de archivos que conduce a la ejecución de código y dos problemas de escalada de privilegios.

Los siete CVE no confirman que todas las 33 afirmaciones del investigador fueran validadas individualmente o resueltas por completo. N-able ha anunciado más actualizaciones de seguridad.

El hotfix refuerza la autenticación, las comprobaciones de permisos, la validación de archivos, los componentes del servidor y las protecciones web. También elimina la gestión de dispositivos móviles heredada y actualiza el sistema operativo y los componentes de terceros. El control remoto integrado permanece desactivado temporalmente, aunque Take Control sigue funcionando.

Tanto los clientes alojados como los locales deben actualizar los Agentes y las Sondas. N-able te indica que actualices primero los Agentes y luego las Sondas, ya que las versiones incompatibles pueden interrumpir la comunicación y desactivar funciones como el almacenamiento en caché de parches fuera de línea. Las versiones de servidor más antiguas requieren una actualización intermedia compatible.

Esto ocurre tras un incidente independiente de omisión de autenticación de N-central reportado en agosto. Debes seguir la guía de la nueva versión en lugar de asumir que los hotfixes anteriores cubren Able2Shell. Mantén los servidores sin parchear desconectados hasta que su actualización tenga éxito.