N-able desconecta N-central tras la publicación de más de 30 supuestos zero-days

El 9 de noviembre de 2026, N-able desconectó sus entornos alojados de N-central en América, Europa y Asia-Pacífico después de que el investigador Sean Bales publicara más de 30 vulnerabilidades supuestamente zero-day. La compañía también pidió a los clientes con servidores N-central on-premises que los apagaran temporalmente.

Bales publicó en GitHub el repositorio Able2Shell, que incluye exploits de prueba de concepto. Según el investigador, las pruebas se realizaron contra N-central Appliance 2026.4.0.31, una versión preliminar, y la mayoría o la totalidad de los fallos también afectaría a versiones anteriores. El descubrimiento contó con asistencia de inteligencia artificial.

Entre las vulnerabilidades divulgadas figuran bypasses de autenticación, exposición de credenciales, escritura arbitraria de archivos, traversal de directorios, XSS, inyección XXE y ejecución remota de código. La cadena considerada más crítica combina una XXE no autenticada en la función de importación de servicios con el robo de una sesión local de confianza, el restablecimiento de contraseñas y la ejecución de comandos como el usuario nable. También permitiría crear una cuenta Default Administrator con credenciales controladas por el atacante.

Otros exploits permitirían ejecutar comandos como root mediante una XSS almacenada cuando un administrador consulta metadatos de parches maliciosos, así como escalar privilegios desde la cuenta nable. N-able afirmó que está desarrollando y validando un hotfix y que no ha observado explotación activa ni accesos no autorizados a datos. Los servicios Ecoverse accesibles mediante N-able Login continuaban operativos, aunque la compañía no había previsto cuándo volvería a estar disponible el entorno clásico de N-central.

Bales explicó que publicó los fallos sin avisar previamente a N-able porque, según afirmó, la empresa no habría resuelto vulnerabilidades comunicadas meses antes en otro producto. N-able no respondió a las preguntas de BleepingComputer sobre esas alegaciones ni sobre el estado de dichos fallos.

Fuente: BleepingComputer.