Brato
VIP
Beta
Programador
Verificado
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Suscripción a IA
🚨 ALERTA CRÍTICA: 30+ zero-days en N-able N-central (RMM) — plataforma apagada en todo el mundo
PoC públicas en GitHub, sin parche disponible y N-able pide apagar los servidores on-premise.
PoC públicas en GitHub, sin parche disponible y N-able pide apagar los servidores on-premise.
⚠️ Si usas N-central, lee esto antes de seguir con tu día.
El investigador Sean Bales publicó el domingo 8 de noviembre por la noche más de 30 vulnerabilidades en N-central, la plataforma RMM de N-able, junto con pruebas de concepto en un repositorio de GitHub llamado Able2Shell.
N-able ha apagado su entorno alojado en América, Europa y Asia-Pacífico, y ha pedido a los clientes con N-central on-premise que APAGUEN SUS SERVIDORES hasta nuevo aviso. No hay parche: están desarrollando un hotfix sin fecha confirmada.
🔗 La cadena de explotación más grave
Según la información publicada, la cadena de ataque más crítica funciona así:
- 1. XXE no autenticado en la importación de servicios.
- 2. Robo de una sesión local de confianza.
- 3. Reseteo de la contraseña de una cuenta.
- 4. Ejecución de comandos como el usuario "nable".
- 5. Creación de una cuenta "Default Administrator" activada con credenciales del atacante.
También hay un XSS almacenado que se ejecuta como root cuando un administrador abre metadatos de parche maliciosos.
💀 Por qué esto es tan grave
Un RMM es la llave de todos los clientes de un MSP. Con una cuenta de administrador en N-central se hereda el parque entero: servidores, copias de seguridad, credenciales, y la capacidad de empujar software a todos a la vez.
Y hay PoC públicas de una cadena que crea esa cuenta. Es decir: el material para reproducir el ataque está disponible para cualquiera que sepa leer un repositorio de GitHub.
Ojo: N-able dice que "no ha observado explotación activa". Es una afirmación del fabricante, no verificada de forma independiente. Trátala como lo que es: una declaración, no un hecho confirmado.
✅ Comprobaciones que deberías hacer HOY si usas N-central
- 1. On-premise: apagar el servidor. Alojado: ya está apagado por N-able.
- 2. Buscar cuentas de administrador creadas recientemente, sobre todo una llamada "Default Administrator".
- 3. Rotar credenciales: cuenta "nable", todas las de administrador y las claves de API.
- 4. Revisar registros de importación de servicios (es el punto de entrada de la cadena XXE).
- 5. Comprobar actividad en equipos gestionados: comandos ejecutados, altas de software, tareas nuevas.
- 6. Plan B: mientras el RMM está caído, ¿cómo se atiende a los clientes? Conviene tenerlo definido antes de que llegue la primera urgencia.
💬 ¿Y tú qué opinas?
¿Usáis N-central o algún otro RMM en vuestros proyectos? ¿Cómo estáis gestionando la caída con vuestros clientes? ¿Creéis que este tipo de incidentes demuestra que el modelo de "un RMM lo controla todo" es demasiado frágil?
Me interesa leer experiencias reales de gente que esté lidiando con esto ahora mismo, sobre todo MSPs y sysadmins con clientes en producción.
🤝 ¿Necesitas una mano con la respuesta al incidente?
Si estás gestionando N-central en tu empresa o en la de tus clientes y necesitas ayuda para auditar lo que ha pasado, revisar accesos, rotar credenciales o montar un plan de contingencia mientras el RMM está caído, puedo echarte una mano.
Trabajo con infraestructura, servidores y automatización, y puedo ayudarte a revisar la exposición, reforzar el resto de accesos y dejar un plan claro para los próximos días.
Si te interesa, escríbeme por privado y lo hablamos sin compromiso. Tengo un precio solidario para los compañeros del foro. Y si solo tienes dudas sobre el incidente, pregunta por aquí y te contesto. ¡Para eso está la comunidad! 🙌
