Otro 10 sobre 10: la consola con la que tu proveedor de TI administra tus equipos

Tres días después de la explotación de ScreenConnect, le tocó a la otra mitad del mismo problema.

CVE-2026-86218 es una vulnerabilidad de puntuación 10.0 sobre 10 en N-able N-central, la plataforma de monitoreo y administración remota que usan muchos proveedores de servicios de TI para administrar los equipos de sus clientes. Permite ejecución remota de código sin autenticación previa, y ya está siendo explotada.

Por qué esto te toca aunque nunca hayas oído el nombre

Casi ninguna empresa de 20 a 200 personas compra N-central. Lo compra su proveedor de soporte.

Cuando contratas TI externo, lo normal es que instalen un agente en cada computadora y servidor. Ese agente le permite al proveedor aplicar parches, instalar software, ejecutar scripts, ver el inventario y entrar cuando hace falta. Es lo que hace viable el soporte remoto y, bien operado, mejora la seguridad de todos.

El problema es la forma del riesgo:

Los datos verificados

• CVE-2026-86218, CVSS 10.0.
• Ejecución remota de código sin autenticación. CISA la clasifica como inyección de código estático (CWE-96): el atacante inyecta instrucciones maliciosas en código ejecutable almacenado en el servidor.
• Afecta a todas las instalaciones locales anteriores a la build 2026.3.1.14, abarcando las ramas 2025.4, 2026.1, 2026.2 y 2026.3.
• N-able publicó el Hotfix 4 para N-central 2026.3 los días 5 y 6 de septiembre de 2026.
• CISA la agregó a su catálogo de vulnerabilidades explotadas el 8 de septiembre.
• Investigación independiente reporta al menos una instancia de cliente comprometida el 4 de septiembre, dos días antes de que existiera el parche. El fabricante había indicado inicialmente que no tenía confirmación de explotación en entornos productivos.

Ese último punto es el que conviene retener: hubo una ventana en la que el ataque ya ocurría y el parche todavía no existía. Ninguna diligencia del lado del cliente cubre eso. Lo único que reduce el daño en ese escenario es que los accesos estén acotados y la actividad quede registrada.

Las cuatro preguntas para tu proveedor

No hace falta ser técnico para hacerlas, y la calidad de la respuesta dice bastante:

1. ¿Usas N-able N-central? ¿En qué versión? Si la respuesta es "no, usamos otra cosa", perfecto — pregunta cuál y si tuvo boletines este mes.
2. ¿La consola es local o alojada por el fabricante? La vulnerabilidad afecta a las instalaciones locales; saber cuál es tu caso cambia el riesgo.
3. ¿En qué fecha aplicaron el hotfix? Una fecha concreta es una buena señal. "Ya está actualizado" sin fecha, no.
4. ¿Qué revisión hicieron de la actividad previa al parche? Es la pregunta que separa a un proveedor que gestiona el riesgo de uno que solo aplica actualizaciones.

Pídelas por correo. No por desconfianza: porque un incidente en la cadena de proveedores se resuelve mucho mejor cuando existe un rastro escrito de quién sabía qué y cuándo.

Lo que sí depende de ti

La parte del proveedor no la controlas. Estas sí:

• Saber qué agentes de administración remota corren en tus equipos. Es una lista que casi nadie tiene y que se levanta en una mañana. Debe incluir herramientas de proveedores antiguos que quedaron instaladas y nunca se desinstalaron — ese es el hallazgo más común y el más peligroso.
• Exigir autenticación en dos pasos en la consola del proveedor, no solo en tus sistemas. El método está en cómo activar la verificación en dos pasos.
• Segmentar la red. Que un equipo comprometido no vea todo lo demás. Es lo que convierte un incidente en un problema acotado.
• Respaldos fuera del alcance de esa consola. Si el RMM puede llegar a tus respaldos, tus respaldos heredan el riesgo del RMM. El criterio completo está en cómo respaldar para sobrevivir a un ransomware.

El patrón de 2026

Magento, ScreenConnect, Cisco ISE, Cisco Secure Email Gateway, ahora N-central. Cinco casos en un mes, y todos comparten forma: no atacan tu aplicación de negocio, atacan la infraestructura que administra tu aplicación de negocio.

Es un cambio de foco que obliga a un cambio de inventario. La lista de "qué software usamos" ya no basta. Hace falta la otra: quién puede entrar a nuestros equipos, con qué herramienta y desde dónde.