N-able publica parches para vulnerabilidades de día cero en N-central

N-able ha publicado parches de seguridad para vulnerabilidades de día cero en su plataforma de supervisión y gestión remota (RMM) N-central. Los fallos se hicieron públicos durante el fin de semana. La empresa desconectó sus entornos alojados de N-central mientras preparaba los parches.

La nueva versión, N-central 2026.4 HF2, incluye parches de seguridad y actualizaciones tecnológicas para algunas de las vulnerabilidades divulgadas. N-able dijo el martes que los servidores alojados de N-central de todas las regiones ya se habían actualizado. Recomendó encarecidamente a los clientes con instalaciones locales que actualicen cuanto antes y sigan las instrucciones de actualización antes de restablecer el acceso normal.

N-able no ha afirmado que los fallos se hayan explotado en ataques. La empresa de inteligencia sobre amenazas Defused informó de que había observado búsquedas en internet de sistemas vulnerables y describió sondeos que involucraban sesiones anónimas de agentes, datos de configuración del dispositivo y un punto de acceso de control remoto sin autenticación. La organización sin ánimo de lucro Shadowserver informó de que algo más de 148 servidores N-central estaban expuestos en línea, frente a los 1.338 detectados el lunes.

El investigador de seguridad Sean Bales divulgó las vulnerabilidades y publicó pruebas de concepto de explotación en el repositorio de GitHub Able2Shell. Dijo que los fallos afectan a N-central Appliance 2026.4.0.31, una versión preliminar, y cree que la mayoría o todas también podrían afectar a versiones anteriores. Los problemas comunicados incluyen ejecución remota de código, omisiones de autenticación, exposición de credenciales y otros tipos de vulnerabilidad.

Bales dijo a BleepingComputer que divulgó los fallos sin avisar a N-able y alegó que la empresa no había corregido problemas distintos que él había comunicado anteriormente en otro producto. N-able no respondió a esas acusaciones cuando se le preguntó y, en su lugar, emitió una declaración sobre el incidente de N-central.