Seguridad · 12 de noviembre de 2026
N-able desconecta su plataforma en la nube tras la divulgación pública de más de 30 vulnerabilidades de día cero
N-able desconectó sus entornos alojados de N-central y exhortó a los clientes con servidores locales a apagar sus sistemas después de que un investigador de seguridad divulgara públicamente más de 30 supuestas vulnerabilidades de día cero, incluidos exploits que podrían permitir a los atacantes tomar el control de sistemas vulnerables.
El investigador de seguridad Sean Bales divulgó las vulnerabilidades el domingo 8 de noviembre por la noche y publicó un repositorio de GitHub llamado Able2Shell que contiene exploits de prueba de concepto para los defectos. Bales confirmó que el descubrimiento de las vulnerabilidades fue asistido por inteligencia artificial.
N-central es una plataforma de monitoreo y gestión remota utilizada por proveedores de servicios administrados y equipos de tecnología de la información para monitorear, gestionar y asegurar dispositivos y redes de clientes de forma remota. El investigador dice que las vulnerabilidades fueron probadas contra N-central Appliance 2026.4.0.31, una versión preliminar del software, y cree que la mayoría, si no todas, las fallas también afectan versiones anteriores.
Las vulnerabilidades divulgadas incluyen omisiones de autenticación, divulgación de credenciales, escrituras arbitrarias de archivos, recorrido de directorios, secuencias de comandos entre sitios, inyección de entidades externas XML y fallas de ejecución remota de código. Una de las cadenas de exploit más críticas abusa de una vulnerabilidad XXE no autenticada en la funcionalidad de importación de servicios de N-central para robar una sesión local confiable, restablecer una contraseña de cuenta y ejecutar comandos en el servidor como el usuario nable. El mismo exploit también puede crear una cuenta de administrador predeterminada habilitada con credenciales controladas por el atacante, proporcionando acceso administrativo fraudulento a la interfaz de gestión de N-central.
Otros exploits divulgados incluyen un XSS almacenado que puede ejecutar comandos como root cuando un administrador ve metadatos de parches maliciosos, y una falla de escalada de privilegios que permite que el código que se ejecuta bajo la cuenta nable ejecute comandos como root. Bales confirmó que el exploit XXE-a-RCE no autenticado fue el más crítico de las vulnerabilidades divulgadas.
Después de la divulgación, N-able anunció un incidente de seguridad crítico y desconectó sus entornos alojados de N-central en las regiones de América, Europa y Asia-Pacífico. N-able confirmó que está desarrollando una revisión rápida para abordar los problemas de seguridad. La empresa declaró que no ha observado explotación activa de estas vulnerabilidades y que sus equipos de seguridad, ingeniería y operaciones están trabajando activamente para implementar la remediación necesaria.
Bales le dijo a BleepingComputer que divulgó deliberadamente las vulnerabilidades de N-central sin notificar a N-able de antemano porque la empresa supuestamente no abordó las vulnerabilidades que había reportado previamente en un producto diferente de N-able. Según Bales, divulgó dos vulnerabilidades de ejecución remota de código no relacionadas y una falla de escalada de privilegios hace aproximadamente cinco o seis meses, pero esas vulnerabilidades permanecen sin parches. También afirma haber enviado correos electrónicos de seguimiento durante las últimas cuatro a seis semanas sin recibir respuesta. Bales dijo que su experiencia anterior con el proceso de divulgación de vulnerabilidades de N-able y que "no toman la divulgación en serio" lo llevaron a publicar los exploits de día cero de N-central. El investigador también afirmó que no recibió pago a través de la plataforma de recompensas por errores de N-able por sus informes anteriores.