Seguridad · 15 de noviembre de 2026
Atacantes explotan vulnerabilidad de día cero en N-able para instalar mineros de criptomonedas
Ciberdelincuentes están explotando activamente una vulnerabilidad de día cero recientemente divulgada en la plataforma N-central de N-able, denominada "4EverAble2Shell", para comprometer servidores e instalar mineros de criptomonedas. Investigadores de seguridad han confirmado que al menos veintiún sistemas se han visto afectados por estos ataques, incluyendo diecinueve equipos que ejecutaban la última actualización de seguridad lanzada por la compañía.
Los incidentes ocurrieron pocas horas después de que el investigador de seguridad Sean Bales publicara códigos de prueba de concepto para dos nuevas fallas críticas, llamadas "4EverAble2Shell" y "Agent2Shell". Según el investigador, estas vulnerabilidades permiten a los atacantes obtener acceso con privilegios de raíz en los dispositivos de N-central y acceso a nivel de sistema en equipos con Windows. La divulgación se produjo el doce de noviembre, apenas dos días después de que N-able lanzara parches de emergencia para abordar otras vulnerabilidades críticas reveladas públicamente por el mismo experto earlier en la semana.
La explotación de la falla "4EverAble2Shell" requiere que la funcionalidad de la API heredada esté habilitada en la plataforma vulnerable. El ataque combina una vulnerabilidad en Apache Axis, rastreada como CVE-2026-90436, con una debilidad separada de escalada de privilegios en N-central para ganar control total del servidor. Por su parte, el segundo exploit, "Agent2Shell", se dirige a la funcionalidad del agente del software y supuestamente permite la ejecución de comandos con privilegios de sistema en dispositivos Windows. Bales indicó que probó estos métodos contra la versión del dispositivo N-central 2026.4.1.26 HF2, que era la actualización de seguridad disponible desde el diez de noviembre.
Empresas de ciberseguridad como Previdian y Huntback han documentado intentos activos de explotación casi inmediatamente después de la publicación del código malicioso. Previdian observó solicitudes sospechosas dirigidas a sus servidores señuelo de N-central aproximadamente a las 08:30 UTC del doce de noviembre, utilizando la misma clase de Java referenciada en el exploit público. Posteriormente, se confirmó que los atacantes intentaron ejecutar la cadena completa de explotación, la cual abusa de un ayudante privilegiado llamado setLDFileOwner y un enlace simbólico para modificar scripts protegidos. Huntback reportó que los atacantes utilizaron la misma dirección IP para comprometer al menos veintiún servidores de producción, instalando un minero de la criptomoneda Monero conocido como XMRig, configurado para usar aproximadamente la mitad de los núcleos de la CPU disponibles para evitar la detección.
En respuesta a estas nuevas revelaciones, N-able emitió un aviso de seguridad el doce de noviembre indicando que está implementando protecciones adicionales. La compañía stated que está restringiendo ciertas características e integraciones de N-central, incluyendo la deshabilitación de la integración con Intune como medida de precaución. Aunque la empresa afirmó no haber visto signos de compromiso utilizando las nuevas fallas en sus entornos alojados, los informes de investigadores contradicen esta aseveración al detallar explotaciones exitosas en sistemas de producción. N-able urgió a los clientes con instalaciones locales a asegurarse de que el acceso a la API heredada esté deshabilitado, lo cual ya es la configuración predeterminada, y continuaron aconsejando la actualización de agentes y sondas bajo la guía previa del parche rápido número dos.
El investigador Sean Bales ha criticado la gestión de las divulgaciones de vulnerabilidades por parte de N-able y la respuesta lenta de la compañía para parchear fallas reportadas responsablemente. Bales declaró que decidió publicar su investigación para que el proveedor decidiera qué acciones tomar. Además, el experto señaló que N-able aún no ha parchado dos vulnerabilidades de ejecución remota de código no relacionadas en otro producto diferente, las cuales fueron divulgadas a la compañía en julio. Mientras tanto, Previdian ha añadido la falla de escalada de privilegios de N-central a su propio catálogo de vulnerabilidades conocidas explotadas, identificándola como VULN-2026-0009.