N-able admite que su primer parche de N-central dejó la puerta abierta y los atacantes entraron

N-able reconoció que atacantes obtuvieron acceso administrativo remoto a servidores N-central y llegaron a los equipos de clientes gestionados. La corrección inicial resultó incompleta y la compilación 2026.3.1.7, publicada el 2 de agosto, es la primera no afectada.

N-able confirmó que atacantes explotaron una omisión de autenticación en N-central, su plataforma de monitoreo y gestión remota, para obtener acceso administrativo a los servidores y desde ahí llegar a los equipos de los clientes que esos servidores administran. La compañía publicó la compilación 2026.3.1.7 el 2 de agosto como la primera versión no afectada.

Qué falló, y por qué dos veces

El primer identificador, CVE-2026-18556, aparece en el propio registro de N-able como «toma de control de cuenta administrativa no autenticada», clasificado como omisión de autenticación por ruta o canal alternativo (CWE-288). Cubre versiones hasta la 2026.1 y fue corregido en la 2026.2.

Durante el análisis posterior, los ingenieros encontraron otra vía para explotar la misma vulnerabilidad que la corrección anterior no bloqueaba. Ese hallazgo se convirtió en CVE-2026-18577 y amplió el rango afectado a todas las compilaciones anteriores a la 2026.3.1.7. N-able asignó ambos CVE y puntuó cada uno en 8.2 sobre CVSS 4.0. Ningún registro identifica el endpoint vulnerable ni la secuencia de peticiones, y la empresa no ha publicado detalle de causa raíz a nivel de código.

La cadena de compromiso

Tras comprometer un servidor N-central, los atacantes usaron la función Take Control para alcanzar los endpoints administrados y registraron túneles de Cloudflare como servicios en esos dispositivos. Los túneles se conectan hacia afuera, hacia el borde de Cloudflare, de modo que no requieren regla de firewall entrante ni puerto en escucha. Ejecutarlos como servicio les permite sobrevivir a un reinicio.

N-able señaló que los túneles preservaron el acceso incluso después de revocar la ruta a través del servidor N-central. Nada en la divulgación sugiere que Cloudflare haya sido comprometida: los atacantes abusaron de su servicio de tunelización.

La investigación arrancó el 31 de julio, cuando N-able detectó un volumen inusual de errores de licenciamiento provenientes de clientes on-premises. La empresa identificó y contactó a un número limitado de clientes afectados, sin publicar cifras.

Lo que vio Huntress

Huntress publicó una respuesta rápida el 3 de agosto. La actividad involucró una instancia autoalojada de N-central dentro de una cuenta de partner; los atacantes accedieron a nueve organizaciones bajo esa cuenta y alcanzaron un endpoint en cada una. Con la evidencia disponible, la actividad posterior al compromiso se limitó a enumerar procesos en ejecución antes de desconectarse.

Huntress también identificó cuatro de las direcciones IP publicadas por N-able como nodos de salida de Mullvad o NordVPN, lo que reduce su valor como indicador aislado y obliga a correlacionarlas con registros de la interfaz de N-central, de red y de endpoint.

Lectura de Tabuga Intelligence

El punto crítico para operaciones regionales es el modelo de confianza del proveedor gestionado. Una plataforma RMM concentra credenciales privilegiadas sobre cientos o miles de equipos de terceros. Comprometer un servidor equivale a comprometer toda su cartera de clientes, y el radio de daño se mide en organizaciones, no en máquinas.

Para el mercado dominicano y caribeño, donde buena parte de la mediana empresa terceriza soporte de TI en MSP locales, la exposición es indirecta pero real: una empresa puede estar parchada y aun así quedar alcanzada por el proveedor que la administra.

Tres acciones concretas para hoy:

• Verificar la versión exacta del N-central que administra su infraestructura. Actualizar a 2026.3, la instrucción inicial de N-able, dejó de ser suficiente. Las instancias hospedadas NCOD se actualizan automáticamente según calendario; las autoalojadas dependen del cliente.
• Cazar persistencia en los endpoints, no solo en el servidor. Actualizar N-central no elimina un servicio malicioso instalado en otra máquina. N-able recomienda buscar svchost.exe en carpetas Documents de usuarios, un servicio llamado Cloudflared y tráfico hacia las IP publicadas.
• Auditar sesiones de Take Control revisando ui_access_control.log y correlacionándolo con los registros BASupSrvc_*.log.gz en los endpoints Windows. Esos registros también aparecen en uso legítimo, así que su presencia no prueba compromiso por sí sola.

El centro nacional de ciberseguridad de Finlandia advirtió en un aviso del 2 de agosto que todas las versiones disponibles antes del hotfix de emergencia eran vulnerables. N-able no ha revelado el número de clientes afectados, cuántos dispositivos aguas abajo fueron alcanzados, cuándo comenzó la explotación, quién está detrás ni si hubo exfiltración de datos.

Fuentes: The Hacker News (3 de agosto de 2026) · N-able, aviso del 2 de agosto · N-able Status, hotfix 2026.3.1.7 · Huntress, respuesta rápida