La compañía N-able, dedicada al desarrollo de soluciones para la administración remota de equipos informáticos, desconectó su servicio en la nube el pasado 9 de noviembre luego de que un experto en seguridad divulgara en GitHub un total de 33 vulnerabilidades sin previo aviso. Asimismo, la firma solicitó a sus clientes que apagaran sus propios servidores como medida preventiva.
La plataforma afectada es N-central, una herramienta diseñada para gestionar equipos y redes de forma remota. A través de ella es posible actualizar programas, monitorear dispositivos y acceder a ellos desde un panel centralizado. Este tipo de acceso puede otorgar control sobre múltiples redes simultáneamente.
El domingo 8 de noviembre, el investigador publicó las descripciones técnicas y el código de prueba de cada una de las fallas, de acuerdo con reportes de BleepingComputer y TechTarget. Sin embargo, las fuentes difieren en su identidad: TechCrunch lo menciona como Ben Bales, mientras que BleepingComputer lo identifica como Sean Bales. El repositorio utilizado llevaba el alias Oracle-Security.
Este grupo de fallas ha sido denominado Able2Shell y comprende 33 vulnerabilidades. De acuerdo con la firma de seguridad Huntress, estas debilidades se articulan en al menos cuatro cadenas de ataque: tres de ellas permiten ejecutar comandos en el servidor de manera remota, y una cuarta posibilita tomar el control total del equipo. Las versiones afectadas incluyen la 2026.4.0.31 y, potencialmente, todas las anteriores.
Quién respondió y qué falta saber
N-able calificó la divulgación como una
“comunicación no responsable”
de vulnerabilidades críticas, según la alerta que reprodujo TechTarget. La empresa señaló que no había detectado explotación activa de las fallas. No obstante, Huntress aclaró que esa declaración era válida hasta las 15:15 UTC del 9 de noviembre.
Un portavoz de N-able no contestó las preguntas de TechCrunch acerca de la capacidad de la compañía para identificar posibles intrusiones, por ejemplo, a través del análisis de los registros de los servidores.
N-able informó que sus equipos de seguridad e ingeniería trabajan en una actualización de emergencia. Sin embargo, Huntress y eSentire advirtieron que no se ha establecido una fecha concreta para su liberación. Los clientes que operan servidores propios deben mantenerlos apagados hasta que la empresa confirme que es seguro reactivarlos.
Durante esta interrupción, los usuarios del servicio alojado no pueden acceder a la versión clásica de N-central. No obstante, otros productos de la compañía, tales como la gestión de parches y vulnerabilidades, continúan operativos, de acuerdo con el comunicado difundido por The Hacker News.
Un historial reciente de fallas en el mismo producto
El investigador manifestó a BleepingComputer que decidió hacer públicas las fallas porque, a su juicio, la empresa no había corregido vulnerabilidades previamente reportadas sobre otro producto. TechCrunch también recogió esta versión, atribuyéndola al investigador, y la compañía no ha respondido a ese señalamiento en los documentos revisados.
Huntress señaló que N-central ya había enfrentado incidentes de seguridad en 2026. En agosto, N-able lanzó un parche para una falla crítica que permitía acceder a la consola de administración sin necesidad de contraseña. Días después, surgió una segunda vulnerabilidad derivada de un parche incompleto.
En septiembre, la firma corrigió otra falla que ya estaba siendo explotada activamente por atacantes. Tan solo un día después, Huntress desarrolló una prueba de concepto para una nueva cadena de vulnerabilidades que posibilitaba crear cuentas de administrador no autorizadas.
Huntress recomendó a los clientes revisar la actividad de inicio de sesión a partir del 8 de noviembre y estar atentos a indicios como sesiones remotas inusuales, scripts desconocidos o cuentas de administrador creadas sin autorización. Hasta el 10 de noviembre, N-able no había comunicado una fecha para la restauración del servicio.
El caso de ConnectWise
Un caso similar tuvo lugar a mediados de octubre de 2026, cuando ConnectWise desconectó sus servicios de respaldo en la nube, conocidos como ConnectWise Cloud Backup, luego de detectar una brecha de seguridad.
En esa oportunidad, un grupo de ciberdelincuentes consiguió comprometer credenciales legítimas de las aplicaciones de la compañía. Esto les facilitó evadir las barreras de autenticación y acceder a la infraestructura de miles de empresas clientes que dependían del proveedor.
Microsoft atribuyó el ataque al grupo estatal chino Storm-0940 y al uso de herramientas basadas en inteligencia artificial para automatizar acciones a gran escala. Apoyados en esos agentes, los atacantes escanearon la red y, en cuestión de horas, comprometieron los entornos de Microsoft 365 de más de 2.250 organizaciones pertenecientes a sectores como defensa, energía y finanzas.
Fuente: Infobae