¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Able2Shell N-central sumó dos ataques nuevos contra servidores ya parcheados, y el rastreo contra instalaciones expuestas empezó a las pocas horas de publicarse el código de prueba. La medida inmediata para quien administra la plataforma es concreta: apagar la interfaz Legacy API hoy mismo y revisar los registros, porque una de las rutas nuevas entra sin credenciales y termina con control total del servidor.
N-central es la plataforma de supervisión y gestión remota de N-able: con ella, un proveedor de servicios administrados ejecuta guiones, instala programas y entra a distancia en los equipos de decenas de clientes desde una sola consola. Ese alcance explica la gravedad del caso. Quien toma esa consola hereda, en la práctica, las llaves de todas las redes que el proveedor atiende.
El investigador independiente Sean Bales publicó el fin de semana Able2Shell: más de 30 fallos de día cero con código de prueba listo para correr, alojado en GitHub. Bales contó que no avisó antes a N-able porque la empresa no corrigió dos fallos que reportó meses atrás en otro producto. La empresa rebatió esa versión: los fallos nuevos nunca llegaron por sus canales oficiales.
N-able reaccionó el lunes 9 de noviembre apagando sus entornos alojados en América, Europa y Asia-Pacífico, y pidió a los clientes con servidor propio que desconectaran el suyo. El martes 10 publicó la corrección 2026.4 Hotfix 2, compilación 2026.4.1.26, y los entornos alojados volvieron en línea. Quien tenga instalación local debe aplicar esa corrección antes de devolver el servidor a internet.
Un parche de dos días y dos rutas nuevas
La corrección del martes tapa siete fallos con identificador CVE. Dos marcan 9,3 puntos de gravedad sobre 10: inyección en archivos XML externos y falsificación de peticiones del lado del servidor. Otro, de recorrido de rutas que permite ejecutar código a distancia, marca 8,6 y lo reportó Nate Fair, de Sprocket Security. N-able afirma que cerró primero todo lo explotable sin credenciales.
Bales volvió el miércoles 11 con dos conjuntos nuevos que, afirma, funcionan contra esa misma corrección. El primero, 4EverAble2Shell, ejecuta código a distancia sin autenticación y con privilegios de raíz en el servidor. El segundo, Agent2Shell, encadena más de 10 fallos de día cero para correr órdenes en los agentes de Windows administrados con privilegios SYSTEM, la autoridad máxima de Windows, si el atacante conoce el identificador del aparato.
N-able informó este jueves 12 que investiga la publicación nueva y que su revisión inicial acota el problema del servidor: la ruta depende de una configuración que no viene de fábrica, con la Legacy API encendida y expuesta a internet. Esa interfaz viene apagada por defecto y la empresa no la recomienda; su aviso pide apagarla de inmediato. Los entornos alojados quedan fuera de este problema.
El rastreo ya corre. Ryan Dewhurst, de Previdian, contó a The Hacker News que su firma vio sondeos contra 4EverAble2Shell a las pocas horas del código de prueba, desde una dirección IP. La cadena abre con un fallo de Apache Axis, CVE-2026-90436, de 9,8 puntos, sigue con la escalada a raíz y cierra descargando un guion con curl: el primer intento documentado contra ese fallo, parcheado el 6 de noviembre.
watchTowr reportó sondeos parecidos contra instalaciones con la Legacy API encendida. Hasta el cierre de la nota de The Hacker News no existe evidencia de una explotación exitosa en un cliente. Esa es la ventana útil: el código circula, los escáneres buscan servidores con la configuración vulnerable y la corrección para las dos rutas nuevas todavía no existe. N-able prepara otra, sin fecha publicada.
El riesgo llega por el proveedor que administra la red
Buena parte de los negocios hispanos de Estados Unidos no compra N-central ni conoce su nombre: contrata a una empresa pequeña que le lleva las computadoras, y esa empresa sí trabaja con consolas de este tipo. La pregunta práctica es si su proveedor la usa, si aplicó la corrección del 10 de noviembre y si la Legacy API quedó apagada. Tres preguntas cortas, verificables en el servidor.
El patrón se repite en las herramientas de acceso remoto, hechas para entrar en equipos ajenos con permiso y tan buscadas por quien quiere entrar sin él: la falla de día cero de BeyondTrust Remote Support, con nota 9,3, obligó a una corrección urgente en octubre. Cuando la herramienta de soporte cae, el daño se multiplica por cada cliente conectado a la consola.
John Pagliuca, presidente de N-able, defendió la gestión de su empresa con una frase dirigida al sector: publicar código de ataque antes de que los clientes puedan actuar no hace a nadie más seguro y entrega ventaja a los atacantes. La disputa del aviso previo sigue abierta, y ninguna versión cambia la tarea de esta semana: parche aplicado, agentes actualizados, Legacy API apagada.
Para quien recibe soporte externo, el dato accionable queda en una revisión fechada: pedir al proveedor el registro de accesos al servidor desde el lunes 9, con atención a sesiones anónimas y a peticiones contra la Legacy API. Si el proveedor trabaja con la nube de N-able, el aviso de este jueves lo cubre; si el servidor es propio, la respuesta válida trae compilación, configuración y registros.
Fuente: The Hacker News
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
