N-able ya parchó N-central en la nube tras la filtración Able2Shell; los servidores locales siguen esperando a que alguien los actualice

N-able publicó este martes N-central 2026.4 HF2, el parche para las fallas que un investigador hizo públicas el domingo sin avisarle. Desde el lunes, la empresa tenía apagado su servicio en la nube en América, Europa y Asia-Pacífico, y les había pedido a sus clientes con servidor propio que lo desconectaran "hasta nuevo aviso". La versión en la nube ya quedó actualizada; los servidores locales dependen de que cada proveedor haga la tarea.

Si tu soporte de TI lo da un tercero, esto te toca aunque nunca hayas oído el nombre: N-central es una de las consolas con las que los proveedores de servicios administrados instalan software, aplican parches y entran a distancia a las computadoras de sus clientes. Quien controla esa consola controla tus equipos.

Qué pasó

La noche del domingo 8 de noviembre, el investigador Sean Bales publicó en GitHub un repositorio llamado Able2Shell con pruebas de concepto de más de 30 supuestas fallas de día cero en N-central, según BleepingComputer. Las probó contra la versión preliminar 2026.4.0.31 y cree que la mayoría también afecta a versiones anteriores. Bales confirmó que el hallazgo fue asistido por IA.

Hay de todo: evasión de autenticación, robo de credenciales, escritura arbitraria de archivos, XSS, XXE, ejecución remota de código y escalamiento de privilegios. La cadena más grave, según el investigador, empieza en la función de importación de servicios sin necesidad de usuario ni contraseña: roba una sesión local de confianza, cambia la contraseña de una cuenta, ejecuta comandos en el servidor e incluso puede crear una cuenta de administrador con las credenciales que elija el atacante.

Bales dice que publicó sin avisar porque N-able no había corregido, en cinco o seis meses, otras fallas que le reportó en un producto distinto. N-able no respondió a esa acusación; su comunicado se limitó al incidente de N-central.

Qué corrige el parche

Las notas de la versión enlistan siete CVE, las que N-able considera más críticas. No publican puntaje CVSS.

Ojo con tres detalles que el comunicado no grita:

• Son siete CVE, no treinta. N-able no ha dicho qué pasa con el resto de las fallas de Able2Shell. BleepingComputer aclara que no verificó todas por su cuenta.
• El control remoto integrado quedó desactivado de forma temporal y volverá en una corrección posterior. Take Control, la otra herramienta de acceso remoto de N-able, sigue funcionando.
• Cambia la comunicación entre agentes y sondas. Hay que actualizar primero los agentes (el programa que vive en cada computadora) y después las sondas. Si se actualiza la sonda antes, los agentes viejos dejan de hablar con ella y funciones como la caché de parches sin conexión se caen.

Quién tiene que hacer qué

• N-central hospedado (NCOD): N-able ya actualizó los servidores. Al proveedor le queda actualizar agentes y sondas.
• N-central en servidor propio: el proveedor tiene que instalar 2026.4.1.26 él mismo, siguiendo la guía de N-able, y luego agentes y sondas. Se puede ir directo desde 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 (hotfixes 1 a 4), 2026.4 y 2026.4 HF1. Lo que sea más viejo necesita un paso intermedio.

N-able insiste en que no ha visto explotación activa. Pero la empresa de inteligencia Defused ya vio escaneos que abren sesiones anónimas de agente, descargan la configuración del servidor y llaman sin autenticación al punto de control remoto. Shadowserver contó cerca de 148 servidores N-central expuestos a internet, contra 1,338 el lunes: muchos se apagaron, pero los que quedan prendidos y sin parche son el blanco obvio ahora que el código de ataque es público.

Qué preguntarle hoy a tu proveedor de TI

No necesitas saber de XXE. Manda un correo con estas cinco preguntas:

1. ¿Qué herramienta de administración remota tienen instalada en nuestros equipos? Si contesta N-central, sigue con las demás.
2. ¿Es hospedada por N-able o en su propio servidor? Si es propia, ¿ya está en 2026.4.1.26?
3. ¿Ya actualizaron los agentes de nuestras computadoras y las sondas de nuestra red? En ese orden.
4. ¿Su servidor quedó expuesto a internet entre el domingo y el parche? Si sí, ¿revisaron cuentas de administrador nuevas, cambios de contraseña y tareas o scripts que nadie programó?
5. ¿Cambiaron las credenciales guardadas en la consola? Entre las fallas hay robo de credenciales; si el servidor estuvo expuesto, hay que suponer lo peor.

Si tu proveedor tarda en contestar o no sabe, eso ya es información. Un proveedor de servicios administrados debería tener un inventario de sus herramientas y un plan para cuando una de ellas falla; en octubre, el caso de ConnectWise y SkyKick mostró lo que pasa cuando el proveedor es la puerta de entrada.

Si tu empresa administra N-central por su cuenta, la prioridad es la misma de N-able: no vuelvas a exponer el servidor a internet hasta tenerlo en HF2, actualiza agentes antes que sondas y revisa las bitácoras desde el 8 de noviembre.