✨︎ Resumen (TL;DR):
- Huntress advirtió que los conjuntos de código 4EverAble2Shell y Agent2Shell podrían afectar N-central 2026.4 Hotfix 2, incluso después de instalar el parche de N-able.
- El hotfix corresponde a la compilación 2026.4.1.26 e identifica siete CVE, frente a las 33 fallas atribuidas a la divulgación original.
- La firma pide desconectar de internet las instalaciones propias, revisar actividad desde el 11 de noviembre y esperar nuevas indicaciones de N-able.
Huntress advirtió que dos nuevas divulgaciones de código asociadas con las fallas de N-central podrían afectar incluso a los servidores que ya recibieron el parche de emergencia de N-able. La firma recomendó a las organizaciones retirar de internet sus instalaciones propias y revisar la actividad de los servidores y equipos administrados, porque todavía no había una corrección para esos problemas.
N-central es una plataforma de administración remota que permite a proveedores de servicios y equipos de tecnología gestionar dispositivos y redes de sus clientes. Un fallo en el servidor de gestión puede tener consecuencias para más de una organización porque ese equipo concentra el acceso remoto.
La alerta llegó después de que N-able retirara temporalmente su servicio alojado y publicara una actualización para un primer conjunto de fallas conocido como Able2Shell. N-able dijo que actualizó sus servidores alojados y restableció el servicio, pero las nuevas divulgaciones cambiaron la evaluación de Huntress sobre la versión corregida.
Las nuevas divulgaciones alcanzan el hotfix recién instalado
En una actualización publicada a la 1:10 del 12 de noviembre, hora del este de Estados Unidos, equivalente a 06:10 UTC, Huntress explicó que el investigador detrás de Able2Shell difundió otros dos conjuntos de código: 4EverAble2Shell y Agent2Shell. Según la revisión inicial de la firma, ambos se presentan como capaces de funcionar contra N-central 2026.4 Hotfix 2, la versión que N-able acababa de distribuir.
El primer conjunto podría permitir la ejecución remota de código en el servidor sin iniciar sesión. El segundo incluye, de acuerdo con el examen preliminar de Huntress, fallas que podrían permitir la ejecución de comandos en equipos Windows administrados.
Huntress seguía investigando y no presentó ese análisis inicial como una prueba completa de intrusión en clientes. La firma recomendó a las organizaciones con servidores propios desconectarlos otra vez o retirarles el acceso a internet, aunque ya hubieran instalado el parche, y mantenerlos así hasta que N-able publique indicaciones sobre los nuevos problemas.
A los clientes del servicio alojado les pidió vigilar las actualizaciones de N-able, ya que esos servidores usan la misma versión, según Huntress. También recomendó revisar la actividad del servidor y de los equipos administrados desde el 11 de noviembre, en busca de accesos, cuentas o tareas inesperadas.
Los indicadores descritos en la alerta provienen de un análisis estático del código. Huntress aclaró que no los había observado en ataques reales al momento de publicar esa actualización.
Qué cubrió el primer parche de N-able
N-able publicó el 10 de noviembre N-central 2026.4 Hotfix 2, con la compilación 2026.4.1.26. Sus notas identifican siete registros de vulnerabilidades, o CVE, cubiertos por la actualización. Algunos describen problemas que podrían permitir la ejecución de código o el aumento de privilegios en un sistema vulnerable.
Los siete CVE no corresponden automáticamente a las 33 fallas que el investigador afirmó haber encontrado en la divulgación original. Tenable señaló que N-able no había explicado qué hallazgos individuales de esa lista correspondían a cada identificador. N-able también indicó que trabajaba en correcciones adicionales.
El 9 de noviembre, N-able desconectó sus entornos alojados de N-central y pidió a quienes operaban servidores propios que los retiraran temporalmente de línea. Después comunicó que había actualizado los servidores alojados y que el servicio había vuelto a funcionar.
La empresa precisó que los clientes con instalaciones propias debían actualizar sus servidores. Todos los clientes, incluidos los del servicio alojado, también debían actualizar los componentes Agents y Probes. Las notas del parche recomendaban actualizar primero los Agents para mantener la comunicación con los Probes.
Esa guía correspondía al primer parche. La recomendación posterior de Huntress es mantener sin acceso a internet los servidores propios ante las nuevas fallas.
Las notas de N-able también indicaban que el control remoto integrado de N-central estaba desactivado temporalmente, mientras la función Take Control seguía disponible.
Exploración y disputa por la divulgación
N-able informó el 11 de noviembre que observaba actividad de exploración relacionada con el código publicado y que no había detectado indicios de compromiso en sus servidores alojados. Ese dato no establece el estado de cada instalación administrada por los clientes.
Tenable recogió reportes de intentos dirigidos a sistemas señuelo. Esos reportes no equivalen a una confirmación de intrusión en un servidor de producción.
El investigador Sean Bales dijo a BleepingComputer que publicó el primer conjunto de fallas de N-central sin avisar antes a N-able porque, según su versión, la empresa no había atendido reportes anteriores sobre otro producto. N-able rechazó la afirmación de que hubiera ignorado divulgaciones responsables y sostuvo que los problemas de N-central no fueron reportados por sus canales antes de hacerse públicos.
BleepingComputer preguntó a N-able por los reportes anteriores sobre el producto distinto, pero la empresa no respondió específicamente a esas preguntas.
Cuando Huntress publicó su alerta, todavía no contaba con una corrección para las nuevas fallas. Por eso su recomendación se mantiene separada del procedimiento del primer parche: las instalaciones propias deben permanecer sin acceso a internet hasta que N-able publique indicaciones sobre 4EverAble2Shell y Agent2Shell.
