N-central ya tiene parche tras su apagón

Seguimiento de N-able desconecta N-central por más de 30 fallos, publicada el 9 de noviembre.

N-able ha publicado la actualización que corrige las vulnerabilidades de N-central, su plataforma de gestión remota (RMM) para proveedores de servicios gestionados. Según el aviso de INCIBE-CERT de este miércoles, la versión que hay que instalar es N-central 2026.4 Hotfix 2, compilación 2026.4.1.26. Están afectados todos los servidores con versiones anteriores, tanto instalados en servidores propios como alojados por N-able.

El 9 de noviembre contamos que la compañía había desconectado su servicio en la nube y pedido a quienes lo tenían en local que lo apagaran. Lo hizo después de que el investigador Sean Bales publicara más de 30 fallos con exploits listos para usar.

Qué corrige

INCIBE-CERT recoge 7 vulnerabilidades corregidas: 2 críticas y 5 altas. Solo detalla las críticas:

• CVE-2026-125883: una restricción insuficiente de las entidades XML externas podría permitir alterar los esquemas que N-central usa para validar documentos.
• CVE-2026-125881: una falsificación de peticiones del lado del servidor (SSRF) en la validación de esquemas de importación podría hacer que el servidor envíe peticiones a destinos elegidos por un atacante.

La primera encaja con lo más grave de lo publicado por Bales: una cadena que empezaba en un fallo XXE sin autenticación en la importación de servicios. Lo que el aviso no aclara es si estas 7 vulnerabilidades cubren todo lo que divulgó el investigador. En el listado de INCIBE-CERT figura «No» en la columna de explotación para los dos fallos críticos.

Qué hay que hacer

En las instalaciones locales hay que actualizar el servidor a la compilación 2026.4.1.26. Si la instalación es anterior a 2025.4, INCIBE-CERT remite a las notas de N-able para conocer la ruta de actualización. En las alojadas, el servidor lo actualiza N-able.

En los dos casos, los clientes tienen que actualizar ellos mismos sus agentes y sondas, en este orden:

• Primero, los agentes.
• Después, las sondas.
• Antes de tocar las sondas, comprobar la versión de Patch Management Engine (PME), que se distribuye automáticamente. Así se mantiene la comunicación y funciones como la caché local de parches.

Hay un peaje: el hotfix deshabilita temporalmente la función de control remoto integrada. El aviso no dice cuándo volverá.

Lo que queda en el aire

El aviso no indica si el servicio en la nube vuelve a estar operativo en todas las regiones. Tampoco ofrece indicadores ni pautas para comprobar si un servidor que estuvo expuesto ha sido comprometido. Por eso, además de parchear, conviene revisar las cuentas de administrador del servidor. Una de las cadenas publicadas permitía crear una cuenta con credenciales del atacante.

Queda también la pregunta de fondo. Una sola herramienta da acceso a los equipos de todos los clientes de un proveedor, y su seguridad depende de que el fabricante responda a tiempo.

Fuente: INCIBE-CERT