Para: MSP (proveedores de servicios gestionados) y equipos de TI internos que ejecutan N-able N-central, local o alojado. Este artículo se basa en la página de estado, las notas de versión y el blog oficiales de N-able, y en información pública de empresas de seguridad. No trata los pasos del ataque.
続報待ち：この記事は公式発表に合わせて更新します
- A quién afecta
MSP (proveedores de servicios gestionados) y equipos de TI internos que ejecutan N-able N-central, local o alojado.
- Confirmado hasta ahoraVer la tabla ↓
- Corrección del primer conjunto publicado
- Actualización del servicio alojado
- Escaneos vinculados al código de prueba
2 más
- Indicadores de compromiso
- Redacción del aviso del 12 de noviembre
Señalado como posiblemente afectado
- Compromiso de servidores con HF2
- Naturaleza de la explotación
- Aún sin confirmar
- Otro parche urgente para la cadena más reciente (N-able dice que lo publicará; sin fecha)
- El número de servidores y clientes comprometidos (N-able no ha publicado ninguno; 21+ es el informe de la empresa A)
- Si algún compromiso se propagó a equipos de clientes (ninguno informado hasta donde pudimos confirmar)
1 más
- Cuándo volverán las funciones restringidas y la integración con Intune en el N-central alojado
- Qué hacer ahoraVer los pasos ↓
- Compruebe la versión del servidor y aplique la corrección HF2
- Confirme que la API heredada está desactivada
- Compruebe que la consola y la API no están expuestas a internet
3 más
- Compruebe si fue comprometido
- Si usa la integración con Intune, tenga en cuenta que está pausada
- Vigile la página de estado y aplique el parche urgente adicional cuando salga
- Dónde verificarlo (fuente)Todas las fuentes ↓
- N-able, «Status Dashboard» (N-central Critical Security Incident y otros avisos; actualizado a las 23:59 UTC del 13 de noviembre de 2026; página de estado oficial, en inglés; consultado el 14 de noviembre)
- Última comprobación
- a fecha del 14 de noviembre de 2026
Próximos avisos y qué comprobamos
La página de estado de N-able dice que avanza hacia una restauración segura, que la investigación es una prioridad máxima y que la situación evoluciona y las actualizaciones se publicarán allí. La página de estado que consultamos el 14 de noviembre se actualizó por última vez a las 23:59 UTC del 13 de noviembre.
Qué deben hacer hoy los administradores de N-central
Compruebe la versión del servidor y aplique la corrección HF2
El 10 de noviembre, N-able publicó N-central 2026.4 HF2 (build 2026.4.1.26). Corrige siete CVE (CVE-2026-125878 a 125883 y CVE-2026-91000), que abarcan XXE, inyección OGNL, escalada de privilegios y ejecución remota de código mediante la subida de archivos.
- Alojado: N-able ha actualizado todas las regiones (11 de noviembre, 01:04 UTC). No se necesita ninguna acción en el servidor
- Local: actualice el servidor a HF2. Las versiones de origen admitidas son 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 (HF1 a HF4), 2026.4 (build .27) y 2026.4 HF1 (build .32). Las versiones anteriores deben pasar primero por la ruta de actualización de N-able hasta una admitida
- Todos: actualice también Agents y Probes. Actualice primero los Agents y después los Probes. Actualizar un Probe primero interrumpe temporalmente la comunicación de los Agents
- HF2 desactiva temporalmente el control remoto integrado (Take Control sigue funcionando)
Confirme que la API heredada está desactivada
En su aviso del 12 de noviembre, N-able pide a los clientes con instalación local que «ensure Legacy API access is disabled» (se asegure de que el acceso a la API heredada está desactivado). Está desactivada por defecto. Si la activó, siga la guía de N-able titulada How to Disable Legacy API settings on On-Premises N-central servers. Para el N-central alojado, N-able desactivó la API heredada por defecto.
Si de verdad la necesita, manténgala fuera de internet. La empresa B advierte de que no se confíe solo en listas de IP permitidas, porque los puntos de acceso afectados son los mismos que usan los Agents y los Probes para registrarse.
Compruebe que la consola y la API no están expuestas a internet
Un servidor N-central puede ejecutar scripts en todos los equipos que gestiona, por lo que un compromiso tiene un gran impacto (observación general). Si nadie necesita acceder a la consola desde fuera, póngala detrás de una VPN. Permita solo el tráfico que necesitan los Agents y los Probes (opinión de este sitio).
N-able había aconsejado mantener los servidores locales sin conexión hasta aplicar HF2 (blog del 11 de noviembre), y el 12 de noviembre dijo que «not advising customers to take N-central offline» (no aconseja a los clientes desconectar N-central). Cuál se aplica depende de si tiene HF2 y la API heredada desactivada, así que lea la guía más reciente de la página de estado.
Compruebe si fue comprometido
- Compare los indicadores de compromiso que N-able publicó en su página de estado (actualización del 13 de noviembre, 13:40 UTC; URL, direcciones IP de destino y puertos) con los registros de su cortafuegos y de su servidor. Se aplican a los clientes que no han desactivado la API heredada
- Guía de la empresa B (a fecha del 13 de noviembre): busque cuentas de administrador, scripts, tareas programadas y sesiones remotas inesperados desde el 11 de noviembre. En equipos Windows, busque PowerShell o cmd.exe inesperados lanzados por el Agent o el Probe de N-able, y reinicios inesperados del servicio Windows Software Probe
- Si encuentra actividad sospechosa, contacte con el soporte de N-able y con su equipo de respuesta a incidentes. Los MSP deben evaluar también el impacto en los entornos de clientes gestionados
Si usa la integración con Intune, tenga en cuenta que está pausada
En su aviso del 12 de noviembre, N-able desactivó la integración con Intune como precaución (en el alojado lo hizo N-able; en el local, el soporte le contactará si no pudo). No se da fecha de restauración. Si sus operaciones dependen de ella, prepare un procedimiento alternativo.
Vigile la página de estado y aplique el parche urgente adicional cuando salga
N-able dice que publicará otro parche urgente. Suscríbase a las notificaciones de la página de estado (uptime.n-able.com) y aplíquelo sobre HF2 cuando se publique. Hasta entonces, desactivar la API heredada y limitar la exposición son las defensas principales.
Qué pasó (según las declaraciones de N-able y los informes de prensa)
«Declaraciones de N-able» a continuación procede de la página de estado, las notas de versión y el blog de la propia empresa. Las horas son UTC. La información de las empresas de seguridad se atribuye a su fuente: empresa A (citada por la prensa) y empresa B (el blog que citamos).
9 nov.
Un investigador independiente publicó numerosas vulnerabilidades de N-central y código de prueba (según el blog de N-able; con el apodo Able2Shell).9 nov.
N-able desconectó el N-central alojado e indicó a los clientes con instalación local que mantuvieran sus servidores sin conexión (página de estado).10 nov.
N-able publicó la corrección N-central 2026.4 HF2 (build 2026.4.1.26) (notas de versión).11 nov.
Se actualizaron todas las regiones alojadas (01:04). En una entrada de blog, N-able dijo que observaba escaneos vinculados al código de prueba, que no veía indicios de compromiso en los servidores alojados y que publicaría otro parche urgente.11 nov. por la noche al 12
El investigador publicó un segundo conjunto de código de prueba contra HF2 (los informes de prensa difieren sobre si fue la noche del 11 de noviembre o el 12 de noviembre).12 nov.
En un aviso, N-able anunció precauciones, entre ellas confirmar que la API heredada está desactivada y pausar la integración con Intune, y escribió que, a esa hora, no había visto indicios de compromiso por las nuevas vulnerabilidades (16:00). Según la prensa, la empresa A confirmó ese día 21 programas de minería en ejecución.13 nov.
N-able actualizó que había identificado indicadores y que trabajaba con los clientes concretos (03:50), y publicó indicadores de compromiso para los clientes que no han desactivado la API heredada (13:40).
- Corrección
- N-central 2026.4 HF2 (build 2026.4.1.26). CVE-2026-125878 (inyección OGNL), 125879 (escalada de privilegios a root), 125880 (XSS almacenado), 125881 (SSRF), 125882 (ejecución remota de código mediante la ruta de subida de archivos), 125883 (XXE), 91000 (canales entre procesos inseguros que llevan a escalada de privilegios). Elimina el MDM heredado y cambia la comunicación de Agents y Probes
- Problema conocido
- Control remoto integrado desactivado temporalmente (Take Control sigue funcionando). Volverá en una corrección futura
- Conocimiento de la explotación
- Observó escaneos vinculados al código de prueba publicado (página de estado). El aviso del 12 de noviembre decía que, a esa hora, no había visto indicios de compromiso por las nuevas vulnerabilidades. El 13 de noviembre actualizó que había identificado indicadores y que trabajaba con los clientes concretos. No se da cifra
- Precauciones (12 de noviembre)
- Alojado: API heredada desactivada por defecto, integración con Intune desactivada. Local: confirmar que la API heredada está desactivada; N-able desactivó la integración con Intune (el soporte le contacta si no pudo)
- Indicadores de compromiso
- Publicados en la actualización del 13 de noviembre, 13:40 UTC, para los clientes que no han desactivado la API heredada (URL, direcciones IP de destino y puertos). No se reproducen en este artículo
- Acción adicional
- Se prevé otro parche urgente (blog del 11 de noviembre). Sin fecha
- Contacto
- Soporte técnico de N-able
Qué se sabe y qué no
Estado a fecha del 14 de noviembre de 2026. Actualizaremos la columna de estado cuando haya novedades.
| Elemento | Qué se dijo | Estado |
|---|---|---|
| Corrección del primer conjunto publicado | HF2 (build 2026.4.1.26), siete CVE | Confirmado (N-able) |
| Actualización del servicio alojado | Todas las regiones actualizadas a HF2 | Confirmado (N-able) |
| Escaneos vinculados al código de prueba | Observados | Confirmado (N-able) |
| Indicadores de compromiso | Publicados para los clientes que no han desactivado la API heredada; trabaja con los clientes concretos | Confirmado (N-able) |
| Redacción del aviso del 12 de noviembre | A esa hora, sin indicios de compromiso por las nuevas vulnerabilidades | Confirmado (N-able; a fecha del 12 de noviembre; el 13 de noviembre actualizó que había identificado indicadores) |
| Número de servidores comprometidos | No indicado. 21+ es el informe de la empresa A (prensa) | No indicado (N-able) / Informado (empresa A) |
| Compromiso de servidores con HF2 | 19 de los 21 tenían HF2 (informe de la empresa A) | Posible (prensa; no se halló confirmación de N-able) |
| Naturaleza de la explotación | Instalación de software de minería de criptomonedas (informe de la empresa A) | Posible (prensa) |
| Observación de la empresa B | A las 10:25 ET del 13 de noviembre, no había observado explotación en los entornos de sus socios | No confirmado (empresa B) |
| Ajuste de la API heredada | La empresa B escribió el 13 de noviembre que confirmó que la cadena más reciente también exige que la API heredada esté activada. No se ha informado del ajuste de la API heredada en los servidores comprometidos | No indicado |
| Propagación a equipos de clientes | No se halló ningún informe | No indicado |
| Corrección y CVE de la cadena más reciente | Solo se ha anunciado otro parche urgente. La prensa cita CVE-2026-90436, que no encontramos en las páginas oficiales de N-able | En investigación |
Cómo leer esto: la declaración de N-able y el informe de la empresa A difieren en el momento y el alcance
El aviso de N-able del 12 de noviembre decía que, a esa hora, no había visto indicios de compromiso por las nuevas vulnerabilidades, y el 13 de noviembre actualizó que había identificado indicadores y que trabajaba con los clientes concretos. La cifra de 21+ procede de la empresa A, que cuenta programas de minería en ejecución, y la conocemos por la cobertura de prensa. No pudimos encontrar esta cifra en las páginas oficiales de N-able. La empresa B dice que no ha observado explotación en los entornos de sus socios. La página de estado de N-able no puede consultarse automáticamente, por lo que la leímos en un navegador para confirmarla.
Qué puede pasar cuando se compromete un servidor de gestión
Esta es información general, no una afirmación de que algo de esto ocurriera aquí. Lo que se ha informado es la instalación de software de minería de criptomonedas.
El software de gestión remota como N-central puede ejecutar scripts y distribuir software a los equipos gestionados. Una preocupación general es que un servidor secuestrado podría usarse para algo más que minar, como enviar software malicioso a los equipos de los clientes o robar credenciales de administrador. Para un MSP, un solo compromiso puede alcanzar a varios clientes. Un caso relacionado con el mismo tipo de herramienta se trata en Posible abuso de extensiones de terceros de ScreenConnect.
Qué deben revisar los operadores de plataformas de gestión remota
Esta sección no evalúa la respuesta de ninguna organización ni especula sobre detalles técnicos. Basada en la guía de la empresa, se limita a qué comprobar en su propia configuración, como opinión de este sitio.
Trate el software de gestión remota como un activo de primer nivel
Un servidor de gestión puede llegar a todos los equipos de los clientes, así que protéjalo con más rigor que un servidor de producción. Ponga la consola y la API detrás de una VPN o de una red muy restringida, y desactive las funciones que no use (aquí, la API heredada) (opinión de este sitio).
Pueda aplicar correcciones en horas o días desde su publicación
Aquí se publicó otro conjunto de código de prueba después de la corrección. Decida de antemano el orden de actualización (Agents, Probes, servidor) y las defensas provisionales para cuando no pueda actualizar (desactivar funciones, restringir la red) (opinión de este sitio).
Restrinja el tráfico saliente del servidor de gestión y conserve los registros
Tras un compromiso, el servidor de gestión descarga herramientas desde fuera. Limitar las conexiones salientes a los destinos necesarios y conservar los registros durante más tiempo permite comprobar después con información como los indicadores de N-able (opinión de este sitio).
Vigile las cuentas de administrador y la ejecución en los equipos gestionados
Configure alertas de EDR o de registros para la creación inesperada de cuentas de administrador, scripts nuevos y comandos inesperados lanzados por el software de gestión. La empresa B da consejos similares.
Fuentes (registros públicos)
Los hechos proceden de la siguiente información pública. No se tratan los pasos del ataque ni los detalles de los indicadores.
- N-able, «Status Dashboard» (N-central Critical Security Incident y otros avisos; actualizado a las 23:59 UTC del 13 de noviembre de 2026; página de estado oficial, en inglés; consultado el 14 de noviembre) — uptime.n-able.com
- N-able, «N-central 2026.4 HF2 Release Notes» (notas de versión oficiales, en inglés; actualizadas el 10 de noviembre; consultadas el 14 de noviembre) — status.n-able.com
- N-able, «Update on N-central 2026.4 HF2 and ongoing security response» (blog oficial, en inglés; 11 de noviembre de 2026; consultado el 14 de noviembre) — n-able.com
- Blog de la empresa B, «N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains» (en inglés; actualizado el 13 de noviembre; consultado el 14 de noviembre) — huntress.com
- BleepingComputer, «New N-able 4EverAble2Shell zero-day exploited hours after PoC released» (prensa, en inglés; 12 de noviembre; consultado el 14 de noviembre; fuente del informe de 21 servidores. No pudimos confirmar el informe original de la empresa A) — bleepingcomputer.com
Historial de actualizaciones
2026-11-14: Primera versión. Basada en la página de estado, las notas de versión y el blog oficiales de N-able, manteniendo aparte la cifra de servidores comprometidos como informe de la empresa A transmitido por la prensa. Actualizaremos a medida que haya novedades.
Lectura recomendada
- Un incidente similar con una herramienta de gestión remota: Posible abuso de extensiones de terceros de ScreenConnect (noviembre de 2026)
- Proteja sus cuentas: Guía de autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026