N-able apaga N-central en la nube tras la publicación de más de 30 zero-days

Un investigador publicó exploits sin aviso previo. La empresa pidió a los clientes con servidores propios apagarlos mientras prepara un hotfix.

N-able sacó de línea sus entornos alojados de N-central y pidió a los clientes on-premises apagar sus servidores, después de que un investigador publicara más de 30 supuestas vulnerabilidades zero-day, informó BleepingComputer el 9 de noviembre de 2026.

N-central es una plataforma de monitoreo y gestión remota (RMM) que usan proveedores de servicios gestionados (MSP) y equipos de TI para administrar los equipos y redes de sus clientes. El investigador Sean Bales divulgó las fallas la noche del domingo 8 de noviembre en un repositorio de GitHub llamado Able2Shell, con pruebas de concepto. La cadena más grave, según Bales, abusa de una falla XXE sin autenticación para robar una sesión, cambiar una contraseña y ejecutar comandos en el servidor.

«Como medida de precaución, sacamos de línea hoy nuestro entorno alojado de N-central», dijo N-able, que afirma no haber visto explotación activa ni acceso no autorizado a datos. La empresa trabaja en un hotfix y promete actualizaciones cada cuatro horas. Bales dijo que publicó sin aviso porque dos fallas de ejecución remota que reportó hace cinco o seis meses en otro producto de N-able siguen sin parche.

Para las empresas que tercerizan su soporte de TI, la pregunta inmediata al MSP es si usa N-central y qué hizo desde el domingo.

Fuente: BleepingComputer: «N-able takes cloud platform offline after 30+ "zero-days" published», 9 de noviembre de 2026.