Fallos de día cero en N-central: qué preguntar a su proveedor de TI
Fallos en N-able N-central, una herramienta de administración remota que usan muchos proveedores de TI, se explotaron el 12 de noviembre. Cinco preguntas clave.
Muchas pequeñas empresas nunca entran en la herramienta que administra sus computadoras: lo hace su proveedor de TI. Esa herramienta, conocida como plataforma de monitoreo y administración remota (RMM), puede instalar programas, ejecutar scripts y abrir sesiones remotas en todos los equipos de la oficina. Esta semana una de las más usadas, N-able N-central, sufrió una serie de fallos de día cero publicados en internet, y los atacantes empezaron a aprovechar uno de ellos en cuestión de horas. Si su TI está externalizada, es buen momento para hacerle unas preguntas claras a su proveedor.
Qué ocurrió
N-central es una plataforma RMM que usan proveedores de servicios administrados y equipos internos de TI para atender los equipos de sus clientes. Según las preguntas frecuentes de Tenable, un investigador comenzó a publicar el 9 de noviembre de 2026 detalles de unas 33 supuestas vulnerabilidades bajo el nombre Able2Shell. N-able publicó el 10 de noviembre N-central 2026.4 Hotfix 2 (compilación 2026.4.1.26), que corrige siete CVE, y desconectó temporalmente sus entornos alojados mientras los actualizaba.
El 12 de noviembre apareció una segunda tanda de exploits. BleepingComputer informa que la cadena, llamada 4EverAble2Shell, da acceso de administrador total (root) al servidor N-central sin iniciar sesión, y que varias firmas de seguridad vieron intentos a las pocas horas. Una de ellas contó ese mismo día 21 servidores con software de minería de criptomonedas, 19 de ellos ya con la nueva compilación. La cadena requiere que la Legacy API de N-central esté activada, una función que según N-able viene desactivada por defecto y no se recomienda. SecurityWeek añade que N-able compartió nuevos indicios de compromiso el 13 de noviembre.
N-able ha restringido algunas funciones e integraciones, entre ellas la Legacy API y la integración con Microsoft Intune, y anunció otra corrección. Los medios no coinciden sobre cuánto afectó a los clientes alojados en la nube, así que lo prudente es suponer que toda instalación de N-central necesitaba revisión esta semana.
Por qué le importa aunque nunca haya oído hablar de N-central
Un servidor RMM es una llave maestra: quien lo controla llega a cada computadora que administra, en cada cliente del proveedor. Hasta ahora los ataques conocidos instalaron mineros de criptomonedas, que sobre todo consumen recursos del servidor. Pero ese mismo acceso podría servir para enviar ransomware o herramientas de acceso remoto a las PC de los clientes. Otras herramientas RMM también han tenido fallos graves; las preguntas siguientes sirven sea cual sea la que use su proveedor.
Preguntas para su proveedor de TI esta semana
- ¿Qué herramienta RMM administra nuestras computadoras? Debe conocer el nombre del producto y saber si funciona en un servidor del proveedor o en la nube del fabricante.
- Si es N-central, ¿qué han hecho? Pregunte si el servidor tiene el hotfix de noviembre o posterior, si la Legacy API estuvo activada alguna vez y si lo revisaron con los indicadores de compromiso publicados por N-able.
- ¿Cómo saben que nada llegó a nuestros equipos? Un buen proveedor puede decirle si se enviaron scripts o programas inesperados a sus dispositivos en los últimos días.
- ¿La consola RMM está protegida con autenticación multifactor y es accesible desde todo internet o solo desde ubicaciones limitadas?
- ¿Nos avisarían rápido? Acuerden cómo y cuándo le contactarán si una herramienta con la que administran su empresa resulta comprometida.
Nada de esto significa cortar con su proveedor. Desinstalar los agentes con prisas puede dejar equipos sin parches ni supervisión. Haga las preguntas, exija respuestas claras y mantenga sus copias de seguridad separadas de todo lo que la herramienta RMM pueda borrar.
Cómo podemos ayudar
Si no sabe bien cómo se administran sus equipos o quiere una segunda opinión, nuestros equipos de servicios de TI administrados y ciberseguridad pueden revisar su configuración. Si está pensando en cambiar de proveedor, nuestra lista para el traspaso entre proveedores de TI indica qué reunir primero. Llame al (213) 986-4855.