Publicado en

Vulnerabilidad Crítica en N-able: Un Parche Incompleto Facilita el Control de Servidores N-central

•Publicado enVulnerabilidades

Crisis en N-able: El Riesgo de los Parches de Seguridad Incompletos

N-able, uno de los proveedores líderes en soluciones de monitoreo y gestión remota (RMM), ha emitido una alerta urgente tras descubrir que un parche de seguridad inicial para su plataforma N-central resultó ser insuficiente. Esta situación ha permitido que atacantes exploten una vulnerabilidad de omisión de autenticación para tomar el control administrativo de servidores y, en consecuencia, acceder a los sistemas de los clientes finales gestionados a través de ellos.

El Desafío Técnico: CVE-2026-18556 y CVE-2026-18577

El incidente comenzó con la identificación de la vulnerabilidad CVE-2026-18556, descrita como una toma de control de cuenta administrativa sin autenticación. Aunque N-able lanzó la versión 2026.2 para mitigar este riesgo, los atacantes encontraron una ruta alternativa para explotar el mismo fallo, lo que derivó en una nueva vulnerabilidad: CVE-2026-18577.

Ambas vulnerabilidades han sido calificadas con una puntuación de 8.2 en el sistema CVSS 4.0, lo que subraya su gravedad. El problema afecta a todas las versiones de N-central anteriores a la 2026.3.1.7, lanzada de emergencia el pasado 2 de agosto.

Tácticas de Persistencia: El Uso de Túneles de Cloudflare

Lo que hace que este ataque sea especialmente preocupante para el entorno empresarial es la sofisticación en la persistencia. Una vez que los atacantes comprometen el servidor N-central, utilizan la herramienta ‘Take Control’ para llegar a los dispositivos finales de los clientes. Para asegurar su acceso a largo plazo, registran túneles de Cloudflare como servicios en los dispositivos afectados.

Estos túneles tienen dos características críticas:

  • Evasión de Firewalls: Realizan conexiones salientes hacia el borde de Cloudflare, por lo que no requieren reglas de entrada ni puertos abiertos en el firewall.
  • Resiliencia: Al ejecutarse como servicios, el acceso persiste incluso después de reiniciar el equipo o de que se revoque el acceso al servidor N-central original.

Recomendaciones para Organizaciones y MSPs

Desde el equipo de ciberseguridad de Intedya, instamos a todas las empresas que utilicen N-central o trabajen con proveedores de servicios gestionados (MSPs) que empleen esta plataforma a tomar las siguientes medidas inmediatas:

  1. Actualización Obligatoria: Es imperativo actualizar todos los servidores autogestionados a la versión 2026.3.1.7 o superior. Las instancias alojadas por N-able (NCOD) se actualizarán automáticamente.
  2. Búsqueda de Indicadores de Compromiso (IoCs): Revisar los sistemas en busca de archivos sospechosos como svchost.exe en carpetas de documentos de usuario o servicios denominados Cloudflared.
  3. Auditoría de Logs: Correlacionar los registros de acceso a la interfaz de usuario de N-central con los logs de los endpoints para detectar actividades no autorizadas de ‘Take Control’.
  4. Monitoreo de Red: Vigilar el tráfico hacia las direcciones IP identificadas como maliciosas asociadas a este incidente.

Este incidente resalta la importancia de la seguridad en la cadena de suministro. Para las empresas, no basta con proteger su perímetro; es vital asegurar que las herramientas de gestión de terceros cuenten con procesos de respuesta ante incidentes robustos y parches verificados.

Fuentes