N-able deshabilita servicios en la nube tras la divulgación de las cadenas de exploits "Able2Shell"

ACTUALIZACIÓN: 12/11 a las 6:30 a. m. hora del Este

Nueva información de N-able cambia nuestra orientación de esta mañana.

N-able publicó un aviso activo que aborda este último conjunto de exploits. En su aviso, N-able indicó que el problema descrito en el servidor N-central depende de una configuración no predeterminada, en la que la API heredada está activada y expuesta a la internet pública. 

N-able publicó un artículo de la base de conocimientos sobre cómo deshabilitar la configuración de la API heredada en servidores N-central on-premises. N-able no recomienda a los clientes desconectar N-central.

El autor del código del exploit actualizó su repositorio para confirmar que el exploit solo funciona con la API heredada activada. Los servidores que ejecutan 2026.4 HF2 con la API heredada deshabilitada no están expuestos a esta cadena de exploits.

¿Qué debes hacer ahora mismo?

• N-central on-premises: confirma que la API heredada esté deshabilitada. Si está habilitada, sigue el artículo de N-able para deshabilitarla.

• Si necesitas tener la API heredada habilitada, no la expongas a internet. Restringe el acceso al servidor hasta que N-able proporcione una solución.

• Si desconectaste tu servidor según nuestra actualización anterior, confirma que la API heredada esté deshabilitada antes de volver a conectarlo.

• N-central alojado: N-able indica que los entornos alojados no son vulnerables a este problema.

• Si la API heredada estaba habilitada y era accesible desde internet, revisa la actividad del servidor y de los endpoints desde el 11 de noviembre en adelante, usando los indicadores de nuestra actualización anterior más abajo.

Aún no hemos confirmado si las cadenas Agent2Shell que afectan a los Agentes y Probes de Windows también dependen de la API heredada. Estamos trabajando con N-able para aclarar esto y actualizaremos esta publicación cuando sepamos más.

Al momento de escribir esto, Huntress no ha observado explotación de estos problemas en los entornos de nuestros partners. Huntress continúa monitoreando este incidente y seguirá actualizando este blog a medida que surja nueva información.

ACTUALIZACIÓN: 12/11 a la 1:10 a. m. hora del Este

En la noche del 11 de noviembre, el investigador detrás de Able2Shell publicó dos conjuntos adicionales de código de exploit para N-able N-central, llamados "4EverAble2Shell" y "Agent2Shell". Se indica que ambos funcionan contra N-central 2026.4 HF2 (compilación 2026.4.1.26), la versión que N-able publicó el 10 de noviembre para abordar la divulgación original. Un servidor N-central completamente parcheado debe considerarse vulnerable. No hay solución disponible al momento de escribir esto.

Según nuestra revisión inicial del código publicado:

• 4EverAble2Shell es una cadena de ejecución remota de código no autenticada que resulta en acceso root en el servidor N-central. No requiere credenciales.

• Agent2Shell es un conjunto de más de diez problemas en la forma en que el servidor N-central se comunica con los Agentes y Probes de Windows. Dos de las cadenas permiten que un atacante no autenticado que pueda alcanzar el servidor ejecute comandos en los endpoints de Windows administrados, incluso como SYSTEM.

Usadas en conjunto, podrían permitir que un atacante se mueva desde un servidor N-central expuesto a internet hacia los endpoints que administra. Huntress está investigando activamente, y actualizaremos esta publicación a medida que continúe nuestro análisis.

Si el código POC se usa sin modificaciones, podrían aparecer los siguientes indicadores. Ten en cuenta que todos estos indicadores potenciales se extrajeron de un análisis estático de código y ninguno se ha observado en el entorno real:

• En los registros del servidor N-Central:

  • POSTs a /dms/services/ServerUI que contienen jline.internal.TerminalLineSettings (el PoC recibe un HTTP 500 de vuelta).

  • POSTs a /dms/services/ServerUI que contienen GenericAgentXMPPMessageExchange con SessionID de -1.

  • POSTs a /dms2/services2/ServerMMS2 que contienen RemoteExecutionTaskSubmit con sessionID de -1.

• Archivos en el sistema del servidor N-Central

  • /var/opt/n-central/flag/flag_default.json existiendo como un symlink a /opt/nable/var/ncsai/scripts/ServerChild.sh.

  • /var/opt/n-central/tmp/serverchild-<12 hex>.bak, .sh o .out.

  • ZIPs bajo /download/scheduled_tasks/output_files/ que contienen CodeDropMeta.xml.

• En endpoints Windows:

  • powershell.exe -NoProfile -NonInteractive -EncodedCommand como SYSTEM, generado desde el Agente de N-able.

    • Nota: PowerShell se observa muy comúnmente como proceso hijo de N-able; el comando que se ejecuta es lo relevante en este caso.

  • wsp.exe o service.cfg escritos en Windows Software Probe\bin, con una copia de respaldo en CodeDrop\ServiceBackup\wsp.exe y archivos en Temp\CodeDropTmp.

    • Nota: El Windows Software Probe se observa muy comúnmente como proceso hijo de N-able, por lo que ese árbol de procesos por sí solo es esperable, y no es un indicador único de compromiso.

  • taskkill /f /im wsp.exe y una detención/inicio de "Windows Software Probe Service" ejecutado desde un .cmd en %TEMP%.

¿Qué debes hacer ahora mismo?

• N-central on-premises: Desconecta el servidor nuevamente, o elimina todo acceso a internet hacia él, incluso si ya aplicaste 2026.4 HF2. Mantenlo desconectado hasta que N-able publique orientación para estos nuevos problemas.

• No confíes únicamente en la inclusión en la lista de aceptados por IP: Los endpoints afectados son los mismos que usan los Agentes y Probes para conectarse, por lo que cualquier dispositivo en una red permitida aún puede alcanzarlos.

• N-central alojado: Monitorea la página de estado de N-able para obtener orientación. Los servidores alojados ejecutan la misma compilación.

• Revisa la actividad desde el 11 de noviembre en adelante: En el servidor, busca cuentas de administrador inesperadas, scripts, tareas programadas y sesiones remotas. En los endpoints Windows, busca actividad inesperada de PowerShell o cmd.exe iniciada por el Agente o Probe de N-able, y reinicios inesperados del servicio Windows Software Probe.

• Si encuentras actividad sospechosa: trátala como un posible compromiso de tus entornos administrados e involucra a tu equipo de respuesta a incidentes.

ACTUALIZACIÓN: 10/11 a las 5:30 p. m. hora del Este

El 10 de noviembre, N-able publicó N-central 2026.4 HF2, (compilación 2026.4.1.26) para abordar las vulnerabilidades de Able2Shell divulgadas el día anterior. Según su publicación, la actualización de seguridad crítica refuerza la autenticación y las verificaciones de permisos en el servidor, elimina la gestión de dispositivos móviles (MDM) heredada, agrega validación adicional al manejo de archivos y registros, y refuerza los componentes del servidor y las protecciones web y de inicio de sesión. 

El hotfix aborda las siguientes vulnerabilidades, que ahora cuentan con CVE designados: 

• CVE-2026-125883: Múltiples vulnerabilidades de inyección de entidades externas XML

• CVE-2026-125878: Múltiples vulnerabilidades de inyección OGNL

• CVE-2026-125879: Escalada de privilegios local a root mediante enable-writable syslog-ng config

• CVE-2026-125880: XSS almacenado mediante metadatos de parches MMS3 (contexto de administrador)

• CVE-2026-125881: SSRF de indicio de esquema mediante la validación del esquema de importación de servicios

• CVE-2026-125882: Ejecución remota de código mediante path traversal en la carga del repositorio de archivos (crédito a Nate Fair de Sprocket Security)

• CVE-2026-91000: Canales IPC inseguros que derivan en escalada de privilegios local

N-able actualizó todos los servidores N-central alojados, y se recomienda a todos los clientes que ejecutan implementaciones on-premises de N-central actualizar sus servidores lo antes posible, manteniéndolos sin conexión hasta que la actualización esté completa. Ten en cuenta que todos los clientes, tanto los que usan la versión alojada como la on-premises, también deben actualizar sus Agents y Probes, ya que la corrección actualiza componentes antiguos del Agent y del Probe para cambiar cómo se comunican entre sí. 

N-able compartió en su página de estado que había observado "actividad de escaneo asociada con el código de prueba de concepto publicado", pero sin evidencia de que algún entorno de cliente haya sido explotado con éxito. 

Hasta el momento de escribir esto, Huntress no ha observado evidencia de explotación de Able2Shell en los entornos de nuestros partners.

Publicación original

Agradecimientos: Un agradecimiento especial a John Hammond, Ben Bernstein y Andrew Brandt por sus contribuciones a esta investigación y a este informe.

Huntress está monitoreando la respuesta de N-able a la divulgación pública de vulnerabilidades críticas en su plataforma N-central, una plataforma de monitoreo y gestión remota (RMM) diseñada para proveedores de servicios administrados y equipos de TI. El 9 de noviembre, N-able desconectó su entorno alojado de N-central mientras trabajaba para asegurar el entorno y aplicar la remediación. 

Esa medida se tomó después de que un investigador independiente publicara en GitHub los detalles de 33 vulnerabilidades críticas que pueden encadenarse para derivar en cuatro exploits distintos (denominados "Able2Shell"). Tres de esos exploits encadenados derivan en ejecución remota de código y uno deriva en escalada de privilegios a root. Las vulnerabilidades afectan a servidores que ejecutan N-central Appliance 2026.4.0.31 (y probablemente también versiones anteriores). 

N-able indicó que no ha visto explotación activa de las vulnerabilidades hasta el 9 de noviembre a las 15:15:00 UTC. La compañía está trabajando en una corrección que, según dijo, estará disponible pronto; los clientes deben mantener sus servidores N-central sin conexión hasta que N-able confirme que pueden restablecerse de forma segura. 

Huntress ha monitoreado y respondido a otras fallas separadas en N-central de N-able este año, incluidas cinco CVE críticas:

• Agosto de 2026: N-able lanzó un hotfix para CVE-2026-18556, una vulnerabilidad crítica que afecta a todas las versiones actuales de N-central, tanto en implementaciones alojadas como en las locales, y que le da a los atacantes acceso no autenticado de "modo dios" a la consola de RMM. CVE-2026-18577 se reveló poco después como un parche incompleto del CVE anterior.

• Septiembre de 2026: N-able emitió un hotfix para abordar una tercera vulnerabilidad, CVE-2026-86218, un día cero de ejecución remota de código previo a la autenticación, explotado activamente, con una puntuación CVSS de 10.0. Al día siguiente, Huntress elaboró una prueba de concepto (PoC) de una cadena de vulnerabilidades distinta y completamente nueva (CVE-2026-86206 y CVE-2026-86207) en N-central que permitía a los atacantes burlar los controles de acceso para crear cuentas administrativas no autorizadas.

¿Qué deben hacer las organizaciones potencialmente afectadas? 

Las organizaciones potencialmente afectadas deben hacer lo siguiente:

• Si ejecutas N-central de forma local, desconecta el servidor ahora y mantenlo desconectado hasta que N-able confirme que es seguro restaurarlo. 

• Si usas el servicio alojado de N-able, espera una interrupción. N-able ha desconectado su infraestructura en la nube; sigue su página de estado para ver actualizaciones.  

• Revisa la actividad de inicio de sesión y autenticación a partir del 8 de noviembre en busca de acceso no autorizado o inesperado. Si encuentras actividad sospechosa, involucra a tu equipo de respuesta a incidentes y evalúa si los sistemas o las redes de clientes gestionados a través de N-central también podrían verse afectados. El documento advierte que la explotación podría permitir la ejecución remota de código o la escalada de privilegios en el servidor.  

• Examina cuidadosamente tus registros de auditoría en busca de indicadores secundarios de compromiso. Durante explotaciones anteriores de vulnerabilidades de N-central (como el día cero de CVE-2026-86218), se observó que los actores de amenazas "rociaban" entornos posteriores con scripts y herramientas no autorizados. En concreto, debes vigilar sesiones de acceso remoto anómalas, la implementación de nuevos scripts o la creación no autorizada de nuevas cuentas de administrador.

• Aplica el hotfix de N-able y restaura el servicio solo cuando N-able indique que es seguro hacerlo. El documento señaló que había un hotfix en desarrollo, sin una fecha exacta, así que verifica la guía vigente del proveedor en lugar de basarte en esta actualización ya desactualizada.

  • N-able no siempre incrementa los números de versión cuando implementa hotfixes en vivo que no requieren reinicio, así que aún está por verse si la versión corregida se numerará 2026.4.0.31 o de otra manera.

Próximos pasos

Huntress está investigando activamente este incidente y nos estamos comunicando con nuestros clientes potencialmente vulnerables para compartir actualizaciones a medida que estén disponibles. Consulta este blog para ver más actualizaciones a medida que obtengamos más información.

También puedes obtener más actualizaciones de N-able en: https://uptime.n-able.com/event/202561/