N-able N-central: publican más de 30 supuestos zero-days de la herramienta de gestión remota y qué preguntarle a tu proveedor de informática

Publicado el 11 noviembre 2026 · Equipo mitza.es

Muchas pymes no tienen un técnico en plantilla: su proveedor de informática vigila los ordenadores, instala actualizaciones y, cuando hace falta, entra a distancia para arreglar un problema. Para hacerlo a escala, los proveedores usan plataformas de gestión y monitorización remota (RMM). Una de ellas es N-able N-central, y esta semana ha estado en el centro de un aviso importante. Resumimos lo que se sabe a fecha de 11 de noviembre de 2026, con la prudencia que exige una situación que cambia cada día.

Qué ha pasado

• 8 de noviembre (domingo): se publica código de prueba de «más de 30» supuestos zero-days de N-central. BleepingComputer atribuye la publicación al investigador Sean Bales, que habla de hallazgos asistidos por inteligencia artificial y probados contra una versión preliminar del producto; Field Effect menciona a una cuenta llamada «Oracle-Security» y cuenta 33 fallos en un repositorio público.
• 9 de noviembre: N-able desconecta su entorno N-central alojado en sus servidores y pide a los clientes que lo tienen instalado en servidores propios (on-premise) que los apaguen hasta nuevo aviso.
• 10 de noviembre: N-able publica la actualización N-central 2026.4 HF2. Según lo que recoge BleepingComputer, todos los servidores alojados ya se han actualizado, y recomienda actualizar los servidores propios «lo antes posible», siguiendo con cuidado su guía antes de restablecer el acceso normal.

¿Explotación confirmada o fallos «supuestos»?

De momento, no hay explotación confirmada. N-able declaró que no había observado explotación activa, y BleepingComputer señalaba el día 11 que todavía no los ha marcado como explotados. La empresa Defused sí informa de «sondeos» de servidores N-central en busca de esos fallos, algo que no equivale a una explotación confirmada. Shadowserver contabilizó que los servidores N-central visibles desde internet pasaron de unos 1.338 el lunes a algo más de 148 el martes.

Tampoco está claro que el parche lo cubra todo. Según BleepingComputer, HF2 corrige «algunos» de los fallos publicados, y ese medio opina que el hecho de que N-able haya sacado un parche respalda que al menos parte de las acusaciones son reales. No hemos visto que la agencia estadounidense CISA haya incluido estos fallos en su catálogo de vulnerabilidades explotadas. La propia página de estado de N-able y las notas de la versión no se han podido consultar directamente; lo que cuenta la empresa lo conocemos a través de BleepingComputer.

BleepingComputer lista como corregidos en HF2, sin que hayamos podido contrastarlo con N-able, siete fallos de distintos tipos: XXE (CVE-2026-125883), inyección OGNL (CVE-2026-125878), escalada local a administrador (CVE-2026-125879), XSS almacenado (CVE-2026-125880), SSRF (CVE-2026-125881), ejecución remota mediante subida de archivos con recorrido de rutas (CVE-2026-125882) y comunicación entre procesos insegura (CVE-2026-91000).

Por qué una herramienta de gestión remota es un objetivo tan atractivo

Una plataforma RMM tiene, por diseño, permiso para ejecutar acciones en los ordenadores de todos los clientes de un proveedor. Quien consiga controlarla puede, en principio, llegar a todos ellos a la vez. No es una hipótesis: en agosto de 2026 un fallo anterior de N-central (CVE-2026-18577, un salto de la autenticación) fue explotado. Según The Register, N-able detectó actividad el 31 de julio, publicó un primer parche el 2 de agosto y un segundo después. Un número limitado de clientes se vio afectado, y los atacantes usaron la herramienta de control remoto Take Control y un túnel de Cloudflare. CISA lo incluyó en su catálogo con un plazo de solo tres días para las agencias federales de EE. UU.

La lección no es que haya que desconfiar de una marca concreta. Existen otras herramientas del mismo tipo y este aviso solo habla de N-central. Lo importante es que el acceso remoto de tu proveedor es una puerta a tus equipos, y conviene saber quién la guarda y cómo.

Qué preguntar a tu proveedor de informática

1. ¿Usáis N-central? Si es así, ¿en la nube de N-able o en un servidor propio?
2. ¿Habéis aplicado ya la actualización de esta semana (HF2) y las anteriores de agosto?
3. ¿Habéis revisado los registros de accesos, cuentas de administrador, scripts y sesiones de control remoto de los últimos días y semanas?
4. ¿Tenéis verificación en dos pasos en la herramienta de gestión y limitado quién puede entrar en ella?
5. ¿A qué equipos míos tenéis acceso y con qué permisos? ¿Podemos limitarlos a lo imprescindible?
6. ¿Cuándo y cómo me avisaréis si detectáis un incidente que me afecte? Pide un plazo concreto.
7. ¿Qué copias de seguridad independientes existen de mis datos, fuera del alcance de esa herramienta?
8. ¿Tenéis un plan de respuesta si la herramienta queda fuera de servicio varios días?

Si tu proveedor accede a datos personales de tu empresa, actúa como encargado del tratamiento y el RGPD le obliga a avisarte sin dilación indebida de una violación de seguridad (artículo 33.2). Y la gestión de proveedores forma parte de las medidas que se esperan de las empresas a las que alcanza la normativa NIS2.

Qué puedes comprobar tú

• Si hay programas de control remoto instalados que no reconoces o que tu proveedor no te ha mencionado.
• Cuentas de administrador nuevas o tareas programadas que nadie recuerda haber creado.
• Que existan copias de seguridad que tu proveedor no pueda borrar con las mismas credenciales.
• Que tienes un contacto de emergencia con tu proveedor (y una alternativa) y que sabes a quién llamar si algo va mal. Puedes pedir ayuda gratuita al INCIBE en el 017.

Qué no significa este aviso

No indica que tu empresa esté comprometida por el simple hecho de que tu proveedor use N-central. No hay explotación confirmada, y N-able publicó un parche en dos días. Pero sí es una buena ocasión para preguntar, para ordenar quién tiene acceso a qué y para exigir que se cumplan los mismos plazos de parcheo que tú aplicarías en casa. Si quieres criterios para valorar la urgencia, tienes la guía para leer un aviso de seguridad.

Otros equipos que también están en la puerta de entrada

El patrón se repite: los atacantes buscan lo que controla otros equipos. Lo hemos visto en la VPN de Ivanti Connect Secure, en los zero-days de Citrix NetScaler y en los switches Zyxel GS1900.

Preguntas rápidas

¿Tengo que cambiar de proveedor?

No necesariamente. Lo que distingue a un buen proveedor es cómo reacciona: si te informa, aplica los parches con rapidez y revisa lo ocurrido. Un proveedor que no responde a estas preguntas sí es una señal de alarma.

¿Qué hago si no sé qué herramienta usa mi proveedor?

Pregúntaselo. Es una pregunta legítima y su respuesta debería ser inmediata. Si no te la dan, pide el detalle por escrito.

¿Esto es lo mismo que el fallo de agosto?

No. Agosto fue un fallo concreto que sí se explotó (CVE-2026-18577); ahora hay una publicación de supuestos fallos sin explotación confirmada. Comparten, eso sí, el mismo motivo de preocupación: son herramientas con acceso a muchos equipos.

Cómo te ayudamos en Mitza

Revisamos qué accesos remotos hay a tus equipos y servidores, con qué herramientas y con qué controles, y te ayudamos a pedir garantías a quien te gestiona la informática. Mira cómo planteamos el mantenimiento informático para pymes o escríbenos desde la página de contacto.

Lectura relacionada: el Patch Tuesday de noviembre de 2026 y qué es un firewall y qué necesita una pyme.