La firma de ciberseguridad Huntress advirtió que una nueva divulgación de fallas en N-central podría afectar incluso a los servidores que ya recibieron el parche de emergencia de N-able. En su revisión inicial del código publicado, la compañía señaló que todavía no había una corrección para esos problemas y recomendó desconectar de internet los servidores instalados por los clientes.
N-central permite a proveedores de servicios y equipos de tecnología administrar a distancia dispositivos y redes de sus clientes. Ese acceso hace que una falla en el servidor de gestión pueda tener consecuencias para más de una organización.
La alerta llegó después de que N-able retirara temporalmente de línea su servicio alojado y publicara una actualización para un primer conjunto de fallas conocido como Able2Shell. La empresa informó que había actualizado sus servidores alojados y restablecido el servicio, pero la nueva divulgación cambió la evaluación de Huntress sobre la versión corregida.
Las nuevas fallas alcanzan la versión actualizada
En una actualización publicada a la 1:10 del 12 de noviembre, hora del este de Estados Unidos (06:10 UTC), Huntress explicó que el investigador detrás de Able2Shell había difundido otros dos conjuntos de código, llamados 4EverAble2Shell y Agent2Shell. Ambos, indicó la firma, se presentan como capaces de funcionar contra N-central 2026.4 Hotfix 2, la versión que N-able acababa de distribuir.
La primera divulgación podría permitir la ejecución remota de código en el servidor sin iniciar sesión. La segunda, según el examen preliminar de Huntress, incluye fallas que podrían permitir la ejecución de comandos en equipos Windows administrados. La firma seguía investigando y no presentó ese análisis inicial como una prueba completa de intrusión en clientes.
Huntress recomendó que las organizaciones con servidores propios los desconecten nuevamente o retiren su acceso a internet, incluso si ya instalaron el parche, y los mantengan así hasta que N-able publique indicaciones sobre los nuevos problemas. Para los clientes del servicio alojado, sugirió vigilar las actualizaciones de la empresa; esos servidores usan la misma versión, según la firma de seguridad.
También recomendó revisar la actividad del servidor y de los equipos administrados desde el 11 de noviembre, en busca de accesos, cuentas o tareas inesperadas. Los indicadores descritos en su alerta proceden de un análisis estático del código; Huntress aclaró que no los había observado en ataques reales cuando publicó esa actualización.
Qué corrigió el primer parche
N-able publicó N-central 2026.4 Hotfix 2, compilación 2026.4.1.26, el 10 de noviembre. Sus notas identifican siete registros de vulnerabilidades, o CVE, cubiertos por la actualización. Algunos describen problemas que podrían permitir la ejecución de código o el aumento de privilegios en un sistema vulnerable.
La cifra de siete CVE no debe leerse como una correspondencia directa con las 33 fallas que el investigador afirmó haber encontrado en la divulgación original. La firma Tenable señaló que N-able no había explicado qué hallazgos individuales de esa lista correspondían a cada identificador. La propia empresa indicó que trabajaba en correcciones adicionales.
El 9 de noviembre, N-able desconectó sus entornos alojados de N-central y pidió a quienes operaban servidores propios que los retiraran temporalmente de línea. Posteriormente comunicó que había actualizado los servidores alojados y que estos habían vuelto a funcionar.
La empresa precisó que los clientes con instalaciones propias debían actualizar sus servidores y que todos los clientes, incluidos los del servicio alojado, debían actualizar también los componentes llamados Agents y Probes. Las notas del parche recomiendan actualizar primero los Agents para mantener la comunicación con los Probes. Esa guía corresponde al primer parche; la recomendación posterior de Huntress es mantener los servidores propios sin acceso a internet ante las nuevas fallas.
Las notas de N-able también indicaban que el control remoto integrado de N-central estaba desactivado temporalmente y que la función Take Control seguía disponible.
Exploraciones y disputa por la divulgación
N-able informó el 11 de noviembre que observaba actividad de exploración relacionada con el código publicado y que no había detectado indicios de compromiso en sus servidores alojados. Esa observación no establece el estado de cada instalación administrada por los clientes. Tenable recogió reportes de intentos dirigidos a sistemas señuelo, distintos de la confirmación de una intrusión en un servidor de producción.
El investigador Sean Bales dijo a BleepingComputer que publicó el primer conjunto de fallas de N-central sin avisar antes a N-able porque, según su versión, la empresa no había atendido reportes anteriores sobre otro producto. La compañía rechazó la afirmación de que hubiera ignorado divulgaciones responsables y sostuvo que los problemas de N-central no fueron reportados por sus canales antes de hacerse públicos.
BleepingComputer indicó que preguntó a N-able por los reportes anteriores sobre el producto distinto y que la empresa no respondió específicamente a esas preguntas. La situación de las nuevas fallas requiere una actualización separada: al emitir su alerta, Huntress aún no contaba con una corrección para ellas.
