Empresa de software apaga su servicio en la nube tras revelarse 33 fallas de seguridad

La empresa de software N-able apagó su servicio N-central el 9 de noviembre tras la revelación de 33 vulnerabilidades de seguridad. El servicio, que permite gestionar equipos y redes a distancia, fue afectado por un conjunto de fallas llamado Able2Shell. Estas vulnerabilidades permiten ejecutar órdenes y tomar control de los servidores afectados, según la empresa de seguridad Huntress.

Un investigador de seguridad publicó en GitHub las descripciones técnicas y el código de prueba de cada falla el 8 de noviembre. Las fuentes no coinciden en el nombre del investigador, mencionándolo como Ben Bales o Sean Bales. El repositorio aparece bajo el alias Oracle-Security.

N-able calificó la publicación como una 'comunicación no responsable' de vulnerabilidades críticas. La empresa informó que no observó explotación activa de las fallas, según la alerta citada por TechTarget. Huntress precisó que esa afirmación regía hasta las 15.15 UTC del 9 de noviembre.

La versión 2026.4.0.31 de N-central resultó afectada por las vulnerabilidades reveladas. N-able indicó que sus equipos de seguridad e ingeniería trabajan en una actualización de emergencia, pero no hay una fecha de entrega confirmada. Los clientes con servidores propios deben mantenerlos apagados hasta que N-able confirme que es seguro reactivarlos.

Mientras dura la interrupción, los clientes del servicio alojado no pueden acceder a la versión clásica de N-central. Otros servicios de la empresa, como la gestión de parches y vulnerabilidades, siguen disponibles, según el comunicado reproducido por The Hacker News.

Este no es el primer problema de seguridad que enfrenta N-able. En agosto, la empresa publicó una actualización para una falla crítica que daba acceso sin contraseña a la consola de administración. Poco después, apareció una segunda vulnerabilidad causada por un parche incompleto. En septiembre, la empresa corrigió otra vulnerabilidad que ya estaba siendo explotada por atacantes.

Huntress recomendó a los clientes revisar la actividad de inicio de sesión desde el 8 de noviembre y buscar señales como sesiones remotas anómalas, scripts nuevos o cuentas de administrador creadas sin autorización. Hasta el 10 de noviembre, N-able no había anunciado cuándo restablecería el servicio.

Un antecedente similar ocurrió a mediados de octubre de 2026, cuando ConnectWise desconectó sus servicios de respaldo en la nube, ConnectWise Cloud Backup, tras detectar una brecha de seguridad. En ese caso, un grupo de ciberdelincuentes logró comprometer credenciales legítimas de las aplicaciones de la compañía, lo que les permitió sortear las barreras de autenticación y acceder a la infraestructura de miles de empresas clientes.

Microsoft atribuyó el ataque al grupo estatal chino Storm-0940 y al uso de herramientas basadas en inteligencia artificial para automatizar acciones a gran escala. Mediante esos agentes, los atacantes escanearon la red y comprometieron, en cuestión de horas, los entornos de Microsoft 365 de más de 2.250 organizaciones de sectores como defensa, energía y finanzas.