N-central vuelve a permitir el acceso sin contraseña; nueva vulnerabilidad RCE pre‑auth recibe calificación crítica
En las últimas semanas, los administradores han tenido que actualizar la plataforma por cuarta vez.
La serie de correcciones urgentes de N-central tuvo otra continuación apenas un día después de la actualización anterior. N-able corrigió CVE-2026-86218, que permite ejecutar código de forma remota en el servidor antes de la autenticación. La vulnerabilidad recibió la máxima puntuación de 10,0 según CVSS 4.0.
El problema afecta a todas las versiones de N-central anteriores a 2026.3.1.14. Para el ataque basta el acceso a la red, la complejidad de explotación es baja y no se necesita una cuenta ni la interacción de un usuario. En la ficha CVE el error se clasifica como CWE-96, cuando una filtración insuficiente permite inyectar directivas en código ejecutable almacenado.
La situación se complica por una contradicción en los mensajes de la propia N-able. En la página del incidente la empresa califica directamente a CVE-2026-86218 como una zero-day crítica y escribe que la vulnerabilidad ya fue explotada en ataques reales. Sin embargo, el boletín público de seguridad indica que por ahora no hay confirmaciones de explotación en entornos de producción.
Huntress tampoco pudo vincular de forma definitiva la intrusión encontrada con una vulnerabilidad concreta. El 4 de septiembre la empresa investigó la compromisión de un servidor N-central totalmente actualizado, pero para el inicio del análisis los registros antiguos ya se habían sobrescrito. Por eso no fue posible determinar si los atacantes explotaron CVE-2026-86218 o alguna de las vulnerabilidades adyacentes.
La nueva brecha apareció en el contexto de una serie de problemas de N-central. En agosto los atacantes ya atacaron N-central mediante la elusión de la autenticación, obteniendo acceso administrativo a la infraestructura de clientes. Más tarde Microsoft vinculó parte de esas intrusiones con el grupo Storm-1175, que utilizó el acceso para desplegar un cifrador.
En apenas cinco semanas N-able publicó cuatro actualizaciones urgentes. El Hotfix 3 del 5 de septiembre corrigió CVE-2026-86206 y CVE-2026-86207, que permitían eludir la autenticación y obtener acceso completo a la plataforma, pero ya al día siguiente se requirió el Hotfix 4. Incluso los servidores con HF3 siguen siendo vulnerables a CVE-2026-86218.
N-able ya aplicó medidas de mitigación a las instancias en la nube de N-central. A los propietarios de instalaciones locales, la empresa recomienda actualizar de inmediato a 2026.3 HF4, compilación 2026.3.1.14, y revisar la lista de usuarios en busca de cuentas desconocidas. Huntress también aconseja buscar llamadas inusuales a la API y restringir el acceso a la consola desde redes no confiables.