Pese a que el parche llevaba dos días instalado, 19 servidores de N‑able fueron comprometidos.

Los hackers comprometieron al menos 21 servidores N-able N-central apenas unas horas después de la publicación del nuevo exploit 4EverAble2Shell. Lo más grave es que 19 de los servidores afectados ya estaban ejecutando el último parche de seguridad, publicado apenas dos días antes.

El 12 de noviembre el investigador Sean Bales publicó dos nuevos exploits, 4EverAble2Shell y Agent2Shell, para la plataforma de gestión remota N-central. El primero permite tomar el control del servidor con privilegios root sin autenticación; el segundo, según el autor, otorga acceso a nivel SYSTEM en equipos Windows gestionados. Ambos fueron verificados en la versión 2026.4.1.26 HF2.

Las nuevas vulnerabilidades surgieron en el contexto de la crisis anterior de N-able. El 8 de noviembre Bales divulgó 33 presuntas vulnerabilidades y varias cadenas de explotación. El fabricante desconectó temporalmente la plataforma en la nube y recomendó a los clientes detener sus propios servidores. El 10 de noviembre la empresa publicó Hotfix 2; sin embargo, dos días después el investigador demostró nuevos métodos de ataque.

4EverAble2Shell combina el fallo de Apache Axis CVE-2026-90436 con una vulnerabilidad separada de elevación de privilegios en N-central. Primero el atacante ejecuta comandos en nombre de la cuenta de servicio nable; luego, mediante un enlace simbólico y una utilidad con privilegios, reemplaza un script protegido. La ejecución posterior otorga privilegios root. El ataque requiere que la Legacy API esté activada, y por defecto está desactivada.

La empresa Previdian registró las primeras solicitudes sospechosas alrededor de las 08:30 UTC del 12 de noviembre. A las 09:16 UTC los especialistas de Huntback ya observaban intentos de ejecutar la cadena completa. Los atacantes subieron un script de instalación de XMRig para minar Monero. El minero ocupaba aproximadamente la mitad de los núcleos de la CPU, presumiblemente para no llamar la atención de los administradores.

La escala del ataque se pudo establecer gracias a los propios delincuentes. Los servidores infectados recibían identificadores con el prefijo nc_ y su dirección IP. A las 12:50 UTC los investigadores encontraron en las estadísticas del pool de minería 21 sistemas activos y cruzaron las direcciones con instalaciones N-central en funcionamiento. Las víctimas se hallaban en EE. UU., Canadá, Sudáfrica, Reino Unido, Alemania, Francia y Suecia.

N-able introdujo restricciones adicionales, desactivó temporalmente la integración con Microsoft Intune y recomendó a los propietarios de servidores locales que comprobaran el estado de la Legacy API. Para las instalaciones en la nube ya se aplicaron medidas de protección. En el momento del comunicado el fabricante no confirmaba ataques exitosos, aunque investigadores independientes hallaron indicios de compromisos en sistemas reales.

Se aconseja a los administradores comprobar las solicitudes a /dms/services/ServerUI, el servicio desconocido xvd.service y los directorios /tmp/.xvd y /var/tmp/.xvd. Detectar tales indicios obliga a tratar el servidor como completamente comprometido. Por ahora los delincuentes utilizan el acceso para cryptojacking, pero la consola N-central comprometida potencialmente permite atacar también los dispositivos de los clientes gestionados por la plataforma.