Por qué importa

N-central es una herramienta de monitoreo remoto usada para administrar grandes grupos de servidores y dispositivos. Un compromiso en estos servidores permite a los atacantes extender el ataque a los clientes finales de los MSP. En 2025 ya hubo ataques de día cero contra el mismo producto que llevaron a una alerta de CISA.

Lo que cambia

  • La versión 2026.3 ya no es suficiente; todos los servidores deben actualizar a 2026.3.1.7.
  • Las instancias alojadas (NCOD) se actualizarán automáticamente según un calendario; las instalaciones locales deben hacerlo manualmente.
  • Además de actualizar N-central, los clientes deben buscar y eliminar túneles maliciosos de Cloudflare registrados como servicios en los endpoints gestionados. Esos túneles persisten incluso después de revocar el acceso al servidor.

Entre líneas

El incidente comenzó el 31 de julio con un aumento inusual de errores de licencia. El 2 de agosto N-able confirmó la explotación activa. La firma de seguridad Huntress reportó que muchas organizaciones aún no habían parcheado al 3 de agosto. La vulnerabilidad permite tomar el control completo de la consola, equivalente al de un ingeniero de NOC.

El dato clave

  • CVE‑2026‑18577: omisión de autenticación que afecta versiones anteriores a 2026.3.1.7.
  • Los atacantes usaron la función “Take Control” para conectarse a sistemas gestionados, luego registraron un servicio de túnel Cloudflare para mantener acceso persistente.
  • N-able publicó indicadores de compromiso en la página de descarga del parche, incluyendo direcciones IP específicas.

Qué sigue

N-able insta a todos los clientes a actualizar inmediatamente. Los que encuentren evidencia de compromiso deben eliminar los servicios de túnel maliciosos. La empresa no ha revelado el número exacto de clientes afectados ni los detalles técnicos de la vulnerabilidad.