Muchos proveedores de TI cuidan las computadoras de sus clientes desde una sola consola. Si le pagas a alguien para administrar tu TI, es muy probable que una herramienta así pueda llegar a todas las máquinas de tu oficina. La noche del 8 de noviembre, un investigador publicó ataques funcionales para más de 30 fallas sin corregir en una de las más usadas, N-able N-central, sin avisar antes a la empresa. N-able apagó su servicio en la nube y pidió a los clientes con servidores propios que los desconectaran.
Qué pasó
Bales publicó sus hallazgos y el código de ataque un domingo por la noche. Según BleepingComputer, incluyen formas de saltarse la autenticación, filtración de credenciales, cross-site scripting y ejecución remota de código. La cadena más grave usa una falla en la forma en que N-central importa definiciones de servicios para apoderarse de una sesión de confianza, restablecer una contraseña y ejecutar comandos en el servidor. La misma cadena puede crear una nueva cuenta de administrador con las credenciales que elija el atacante.
N-able lo trató como un incidente crítico. Desconectó su entorno N-central alojado en América, Europa y Asia-Pacífico, y pidió a los clientes con servidores propios que los apagaran o los mantuvieran fuera de internet. Sus otros servicios siguieron funcionando. El 10 de noviembre publicó el Hotfix 2, compilación 2026.4.1.26, que corrige siete vulnerabilidades: fallas de entidades externas XML, fallas de inyección, una falsificación de solicitudes del lado del servidor, un recorrido de rutas que permite ejecutar código, cross-site scripting almacenado, y dos formas de que un código que ya está en el servidor eleve sus privilegios, una de ellas hasta root. Una de las siete la reportó por separado Nate Fair, de Sprocket Security.
N-able dice que ya están corregidas todas las fallas que se pueden usar sin iniciar sesión, y que las demás requieren una cuenta de N-central, muchas veces con privilegios altos, y se corregirán en próximos hotfixes. N-able actualizó por su cuenta los servidores alojados. Los clientes todavía tienen que actualizar los agentes y las sondas en sus propias redes, y quienes operan N-central por su cuenta tienen que instalar el hotfix.
Al principio, Bales justificó no avisar diciendo que N-able había ignorado fallas que él reportó en otro producto. N-able dijo que ninguna de estas fallas se le había reportado nunca, y Bales le confirmó después a Infosecurity Magazine que eso era correcto. "Publicar código de ataque antes de que los clientes hayan tenido oportunidad de actuar no hace a nadie más seguro", dijo el director ejecutivo de N-able, John Pagliuca. "Les da ventaja a los atacantes".
Por qué importa
Un servidor RMM es una llave maestra. Existe para ejecutar comandos en todas las computadoras que administra. Un atacante que lo controla no necesita entrar a las computadoras de tu oficina una por una. Puede enviar ransomware a todas al mismo tiempo, y parecerá mantenimiento de TI de rutina. Escribimos sobre atacantes que pasan por estas plataformas hacia las empresas que están detrás en La herramienta que lo arregla todo puede romperlo todo.
Publicar sin aviso eliminó la ventaja que suelen tener los defensores. Normalmente un fabricante tiene semanas para preparar una corrección antes de que los detalles del ataque sean públicos. Aquí, atacantes y defensores recibieron el código de ataque al mismo tiempo. La corrección de N-able llegó unos dos días después, lo cual es rápido. Pero los servidores propios siguieron expuestos hasta que cada proveedor de TI los desconectó o instaló la corrección. Los escaneos en busca de servidores vulnerables empezaron en menos de un día.
Esto se manejó a la vista, y eso importa. N-able desconectó su propio servicio en lugar de esperar, y les dijo a sus clientes qué hacer. Eso afectó durante unos días a todos los proveedores de TI que lo usan, pero es la respuesta que quieres de un fabricante en esta situación. El riesgo ahora está en los proveedores que operan N-central en sus propios servidores, y en qué tan rápido actuaron.
Probablemente no sabes qué herramienta usa tu proveedor de TI. La mayoría de las empresas nunca ve la consola de administración. Eso está bien, siempre que puedas preguntarle al proveedor y obtener una respuesta clara.
Qué hacer en la práctica
Si tienes un proveedor de TI, hazle tres preguntas esta semana. ¿Usan N-central? Si es así, ¿lo aloja N-able o está en su propio servidor? Y si está en su propio servidor, ¿lo desconectaron o lo actualizaron a 2026.4 Hotfix 2, y cuándo? Si usan otra herramienta, pregunta lo mismo sobre sus últimas actualizaciones de seguridad.
Pregunta si revisaron señales de una intrusión. Aplicar el parche después de que el código de ataque es público no basta. El proveedor debería buscar cuentas de administrador que nadie creó, scripts o tareas inesperadas enviadas a los equipos, e inicios de sesión desde el 8 de noviembre en adelante.
Si operas N-central por tu cuenta, instala el hotfix antes de volver a conectar el servidor a internet. Después actualiza primero los agentes y luego las sondas, como explican las notas de la versión de N-able, y limita el acceso a la consola web a tu propia red de administración o a una VPN. Vienen más correcciones para las fallas que requieren iniciar sesión, así que considera el servidor todavía en riesgo hasta que estén instaladas.
Ten respaldos que las herramientas de tu proveedor de TI no puedan alcanzar. Si alguna vez se usa una plataforma de administración en tu contra, un respaldo desconectado o inmutable es lo que te permite recuperarte. Pregúntale a tu proveedor dónde están tus respaldos y si la misma consola puede borrarlos.
En resumen
Un investigador publicó ataques funcionales contra una herramienta que los proveedores de TI usan para controlar las computadoras de sus clientes, sin darle al fabricante la oportunidad de corregirlos primero. N-able desconectó su servicio, publicó una corrección en unos dos días y dice que no hay señales de que sus servidores alojados hayan sido comprometidos. La pregunta para toda empresa con un proveedor de TI es sencilla: ¿qué herramienta de administración usan, y está actualizada? Hazla esta semana.
Fuentes
- N-central 2026.4 HF2 release notes — N-able
- N-able takes cloud platform offline after 30+ zero-days published — BleepingComputer
- N-able takes hosted N-central offline after researcher discloses 33 zero-days with PoC exploits — The Hacker News
- Hackers target N-central zero-days as N-able rushes patches — SecurityWeek
- N-able rushes out N-central fixes after 33 zero-days go public — Infosecurity Magazine
