Sin credenciales, los hackers ya controlan los equipos de los clientes de N‑central — y esto es solo el comienzo de la pesadilla

Los atacantes encontraron una forma de acceder a N-central sin credenciales, obtuvieron privilegios de administrador y, mediante las herramientas estándar de la plataforma, llegaron a los equipos de los clientes. Tras descubrirse el ataque, el desarrollador tuvo que corregir la vulnerabilidad dos veces: la primera actualización solo bloqueó una vía de elusión de la autenticación, pero dejó otra. La versión que cierra completamente el problema es N-central 2026.3.1.7, publicada el 2 de agosto de 2026.

N-central es usado por proveedores de servicios gestionados de TI y por departamentos técnicos internos. Desde un panel unificado, los administradores supervisan estaciones de trabajo y servidores, instalan actualizaciones, ejecutan comandos y se conectan a dispositivos remotos. Por eso, la intrusión de un servidor N-central abre el acceso a varias organizaciones que gestione su propietario.

La investigación comenzó el 31 de julio, cuando N-able detectó un número inusualmente alto de errores de licencia entre clientes con instalaciones locales de la plataforma. La verificación mostró que terceros obtenían acceso administrativo de forma remota a servidores que ejecutaban N-central 2026.1 y versiones anteriores.

Tras acceder al panel, los atacantes usaron la función integrada Take Control. Esta herramienta estándar está destinada al soporte técnico remoto y permite abrir una sesión en el equipo conectado sin vulnerar por separado su sistema operativo.

En algunos equipos los atacantes instalaban Cloudflare Tunnel y registraban el programa cloudflared como servicio del sistema. El túnel establece una conexión saliente con la infraestructura de Cloudflare, por lo que al atacante no le hace falta abrir un puerto entrante ni cambiar las reglas del cortafuegos.

Ejecutar como servicio permitía que cloudflared se iniciara automáticamente tras un reinicio. Incluso cuando los propietarios cerraban el acceso a través del servidor N-central comprometido, el túnel creado continuaba conduciendo directamente al dispositivo final. La actualización de la plataforma no elimina el programa instalado en otro equipo, por lo que no basta con actualizar una sola instalación a la versión corregida.

No hay indicios de que Cloudflare en sí haya sido comprometida. Los atacantes aprovecharon el servicio legítimo de tunelización como un canal listo para acceso remoto. Esta táctica ayuda a ocultar la conexión entre el tráfico cifrado habitual y a eludir restricciones diseñadas para conexiones entrantes.

La primera vulnerabilidad fue registrada como CVE-2026-18556. En su propio aviso N-able la describió como el secuestro de una cuenta administrativa sin autenticación. El fallo corresponde a la elusión de la verificación de identidad mediante una vía o canal alternativo, identificado en la clasificación CWE con el número 288.

La CVE-2026-18556 afectó a N-central hasta la versión 2026.1. El desarrollador informó que eliminó el método de ataque encontrado en la versión 2026.2 y al principio recomendó a los clientes actualizar a la rama más reciente de la plataforma.

Más tarde la investigación reveló otra vía con el mismo resultado. La nueva variante sorteaba la corrección inicial y funcionaba en todas las compilaciones anteriores a 2026.1, incluidas las versiones que se consideraban protegidas tras la primera actualización. Al fallo se le asignó el identificador separado CVE-2026-18577.

Ambas vulnerabilidades obtuvieron 8,2 puntos sobre 10 según CVSS 4.0. N-able no divulgó la ubicación del componente vulnerable, la secuencia de peticiones ni el error en el código fuente. De la información publicada solo se sabe que la explotación permitía a un tercero obtener privilegios administrativos de forma remota.

El Centro Nacional de Ciberseguridad de Finlandia advirtió que son vulnerables todas las versiones de N-central disponibles hasta la salida del parche urgente. No basta con pasar a la 2026.3. Se considera segura la compilación 2026.3.1.7.

Los clientes con servidores desplegados por su cuenta deben instalar la actualización manualmente. N-able actualiza las instancias en la nube N-central on Demand, o NCOD, según su propio calendario y comunica las fechas a los socios directamente.

Tras instalar el parche, los administradores deben revisar todos los dispositivos gestionados. Hay que prestar especial atención al servicio llamado Cloudflared y al archivo svchost.exe en las carpetas Documents de los usuarios. El proceso legítimo del sistema Windows suele estar en el directorio del sistema; por eso, un archivo homónimo entre los documentos exige un análisis adicional.

N-able también publicó seis direcciones IP observadas durante los ataques:

173[.]249[.]252[.]200
87[.]249[.]138[.]34
37[.]19[.]210[.]32
37[.]153[.]90[.]88
92[.]118[.]112[.]181
68[.]235[.]46[.]214

Algunas de las direcciones pertenecían a nodos de salida de los servicios VPN Mullvad y NordVPN. La coincidencia por sí sola no demuestra un compromiso, ya que esos mismos nodos son usados por clientes comunes. Los administradores deben correlacionar las conexiones de red con los registros de N-central, las acciones de los operadores y los eventos en los dispositivos finales.

La empresa Huntress detectó actividad relacionada en una instalación de N-central alojada por el propio cliente, perteneciente a uno de sus socios. A través de ese panel, los atacantes accedieron a nueve organizaciones y llegaron a un equipo en cada una.

Según los datos disponibles, en los equipos comprometidos los atacantes solo llegaron a obtener la lista de procesos en ejecución y acto seguido se desconectaron. Huntress continuó la búsqueda de otras evidencias y en su caso no detectó la instalación de Cloudflare Tunnel que N-able había reportado. La diferencia sugiere múltiples variantes de actuación tras la intrusión o que ataques individuales se detuvieron en distintas fases.

Huntress también publicó tres dominios observados en las conexiones de los atacantes: mousears.synology[.]me, wagoosh.direct.quickconnect[.]to y who-ripped-one.direct.quickconnect[.]to.

Para buscar sesiones no autorizadas de Take Control, los especialistas recomiendan revisar el registro ui_access_control.log en el servidor N-central. Los eventos deben correlacionarse con los archivos C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz en los equipos Windows.

Los registros indicados también se generan durante el trabajo normal del servicio de soporte, por lo que su mera presencia no prueba nada. Son sospechosas las sesiones inesperadas, las direcciones de conexión desconocidas, la incompatibilidad con el horario laboral y las acciones realizadas desde cuentas que imitan perfiles de soporte de N-able, incluida mspsupport@n-able.com.

N-able informó solo de un número limitado de clientes afectados y se puso en contacto con ellos directamente. La empresa no reveló el número exacto de servidores comprometidos, cuántos dispositivos eran accesibles a través de ellos, la fecha de inicio de la explotación ni datos sobre una posible exfiltración. La identidad o afiliación de los atacantes también sigue siendo desconocida.

Los administradores deben no solo actualizar a N-central 2026.3.1.7, sino también comprobar los sistemas finales en busca de servicios y canales de acceso creados tras la intrusión. Cloudflare Tunnel instalado en el equipo del cliente seguirá funcionando independientemente del estado del servidor N-central y mantendrá al atacante el acceso incluso después de cerrar la vulnerabilidad original.