N-able ha publicado el hotfix N-central 2026.4 HF2 contra Able2Shell, más de 30 fallos divulgados con exploits públicos que ya se están escaneando. Afecta a quien tenga N-central en servidor propio y, de rebote, a las pymes cuyo MSP lo usa. Si es tu caso, aplica el HF2 antes de reconectar o exige a tu proveedor confirmación por escrito.
Lo esencial
- El investigador Sean Bales publicó los fallos y el código de prueba (PoC) en el repositorio Able2Shell de GitHub la noche del 8 de noviembre, sin avisar antes a N-able (BleepingComputer, SecurityWeek).
- El 11 de noviembre N-able lanzó N-central 2026.4 HF2. Corrige, entre otros, CVE-2026-125883 (varios XXE, CVSS 9.3), CVE-2026-125878 (inyecciones OGNL, CVSS 8.7 según SecurityWeek), CVE-2026-125879 (escalada a root, CVSS 8.6) y CVE-2026-125882 (RCE por path traversal, CVSS 8.6).
- N-able afirma que ya están resueltas todas las vulnerabilidades explotables sin autenticación. El resto se corregirá en hotfixes posteriores (SecurityWeek).
- Según Shadowserver, quedaban unos 148 servidores N-central expuestos a Internet, frente a 1.338 el lunes. Censys cuenta 1.728 instancias expuestas (The Hacker News).
- Previdian registró 68 intentos de explotación contra un honeypot desde una sola IP en unas 18 horas (The Hacker News).
¿Qué ha pasado y por qué es tan grave?
N-central es una plataforma de gestión remota (RMM). La usan muchos proveedores de servicios gestionados (MSP) y departamentos de TI para controlar los equipos de sus clientes o de su empresa. Bales probó los fallos contra N-central Appliance 2026.4.0.31, una versión preliminar, y cree que la mayoría o todos afectan también a versiones anteriores (BleepingComputer).
Hay de todo: ejecución remota de código, saltos de autenticación, divulgación de credenciales, escritura arbitraria de archivos, XXE y XSS. La cadena más peligrosa no necesita autenticación: encadena un XXE con una ejecución remota de código y permite crear un administrador por defecto con las credenciales del atacante.
El 9 de noviembre N-able desconectó los entornos alojados y pidió a los clientes locales que apagaran sus servidores. Ahora dice que todos los servidores alojados (NCOD) están actualizados en todas las regiones.
Los atacantes ya se mueven. N-able observa escaneos con el PoC publicado, aunque no tiene evidencia de explotación exitosa en entornos de clientes. Defused detectó sondeos que abrían sesiones anónimas de agente, descargaban la configuración y accedían sin autenticación al endpoint de control remoto.
¿Me afecta si no tengo N-central, pero mi informático sí?
Sí, de forma indirecta. N-able dice dar servicio a más de 500.000 organizaciones en más de 140 países. Si tu MSP o tu informático externo gestiona tus equipos con N-central, su consola es una puerta a tus ordenadores. Una consola RMM comprometida da control sobre todos los equipos que gestiona.
La diferencia está en el tipo de instalación. Si tu proveedor usa la versión alojada, N-able ya la ha actualizado. Si la tiene en un servidor propio, tu riesgo depende de que la haya parcheado y revisado. Las fuentes no aportan cifras de afectados en España, así que no se puede cuantificar el riesgo local.
Qué hacer hoy
- Pregunta a tu MSP o informático externo si usa N-central.
- Si lo usa, pregunta si es alojado o local, si ya ha aplicado el HF2 y si ha revisado accesos desde el 8 de noviembre. Pide la respuesta por escrito.
- Si gestionas tú un N-central local, no lo vuelvas a conectar hasta aplicar el HF2 y seguir la guía de actualización de N-able.
- Limita el acceso a la consola a redes de confianza. No la dejes abierta a Internet.
- Revisa los registros de acceso y autenticación desde el 8 de noviembre, como recomienda Huntress, y busca cuentas de administrador nuevas o desconocidas.
- Restablece el servicio normal solo cuando N-able diga que es seguro.
Qué significa para una pyme
El riesgo no está en tus portátiles, sino en la herramienta con la que otro los gestiona. Eso cambia la conversación con tu proveedor: ya no basta con que "lo tenga controlado".
Este caso deja dos lecciones. La primera: la divulgación sin aviso dejó a todos los clientes locales sin parche durante tres días, y en ese tiempo ya había escaneos. Tu proveedor necesita poder apagar y parchear en horas, no en semanas. La segunda: el HF2 no lo cierra todo. Los fallos que requieren una cuenta autenticada siguen pendientes, así que una credencial robada de la consola sigue siendo una vía de entrada. Doble factor y acceso restringido a la consola no son opcionales.
Nuestra recomendación es usar este episodio para revisar el contrato con tu MSP: qué herramientas de acceso remoto usa, quién tiene acceso a ellas y qué plazos de parcheo se compromete a cumplir. Si no sabes por dónde empezar, en ciberseguridad para pymes te ayudamos a formular esas preguntas.
Preguntas frecuentes
¿Estoy a salvo si mi MSP usa N-central alojado?
N-able dice que todos los servidores alojados están actualizados. Aun así, pide a tu proveedor que revise accesos desde el 8 de noviembre.
¿El HF2 corrige todos los fallos de Able2Shell?
No. Corrige los explotables sin autenticación y los más críticos. El resto llegará en hotfixes posteriores.
¿Hay ataques confirmados?
Hay escaneos e intentos de explotación, pero N-able dice no tener evidencia de explotación exitosa en clientes.
