N-able emite un segundo hotfix para N-central tras llegar los atacantes a los equipos gestionados
La falla CVE-2026-18577 resultó ser un parche incompleto de una vulnerabilidad anterior. Los atacantes usaron la función Take Control para alcanzar endpoints de clientes y montaron un túnel de Cloudflare para persistir.
N-able publicó un segundo hotfix para N-central, su plataforma de monitoreo y gestión remota utilizada por proveedores de servicios administrados. El aviso de la empresa es explícito: "el Hotfix 2 es obligatorio, incluso si ya aplicó el hotfix anterior".
Cronología del incidente
El 31 de julio de 2026 la compañía detectó actividad inusual en el entorno de un cliente. La investigación derivó en el descubrimiento de una vulnerabilidad hasta entonces desconocida, catalogada como CVE-2026-18577 con puntuación CVSS de 8.2, que afecta a todas las versiones anteriores a 2026.3.1.7.
El dato incómodo es su origen: CVE-2026-18577 corresponde a una corrección incompleta de CVE-2026-18556, otra falla con idéntica puntuación de 8.2. La Agencia de Ciberseguridad e Infraestructura de Estados Unidos incluyó ambas en su catálogo de vulnerabilidades explotadas activamente.
Cómo se movieron los atacantes
La secuencia documentada muestra un patrón de escalada característico. Los atacantes obtuvieron acceso administrativo remoto a la consola de N-central y desde ahí abusaron de la función Take Control, diseñada para que el técnico del proveedor tome sesión sobre las máquinas de sus clientes. Esa misma capacidad legítima se convirtió en el vehículo para alcanzar los endpoints gestionados.
El mecanismo de persistencia merece atención aparte. Los atacantes registraron un servicio de túnel de Cloudflare en los equipos comprometidos, lo que les garantiza un canal de retorno que sobrevive a la revocación del acceso a N-central. Expulsar al intruso de la consola de gestión, en consecuencia, no lo expulsa de la red del cliente.
Acción requerida e indicadores
Los clientes con instalaciones locales deben actualizar a la versión 026.3.1.10. Entre los indicadores de compromiso publicados figuran las direcciones IP 173.249.252.176, 173.249.252.200, 185.156.46.150, 23.234.94.43, 37.153.90.88 y 37.19.210.32.
La búsqueda no puede limitarse a la consola. Corresponde revisar los endpoints gestionados en busca de servicios de túnel de Cloudflare no autorizados y de sesiones de Take Control fuera de los horarios y usuarios habituales del proveedor.
La lectura de Tabuga Intelligence
La arquitectura de los proveedores de servicios administrados concentra un riesgo estructural que este incidente vuelve tangible. Una sola consola de gestión remota mantiene acceso privilegiado y permanente sobre decenas o cientos de organizaciones distintas. Comprometerla equivale a comprometer toda la cartera de manera simultánea.
Para las empresas dominicanas que tercerizan soporte de TI, la pregunta operativa deja de ser si el proveedor es confiable y pasa a ser cuál es su superficie de exposición. Tres puntos concretos para la próxima conversación con el proveedor: qué versión de la herramienta de gestión remota opera hoy, con qué velocidad aplica parches marcados como explotación activa, y qué visibilidad tiene el cliente sobre las sesiones remotas ejecutadas contra sus propios equipos.