Actualización: dos días después de que N-able lanzara el Hotfix 2 para corregir las fallas Able2Shell de N-central, dos nuevos exploits ya se están usando contra servidores reales. El investigador Sean Bales publicó el 12 de noviembre de 2026 las cadenas 4EverAble2Shell y Agent2Shell, probadas contra N-central Appliance 2026.4.1.26, justo la versión corregida el 10 de noviembre. En pocas horas, al menos 21 servidores ya estaban minando Monero para los atacantes.
Cómo funciona el ataque
El 4EverAble2Shell permite que un atacante sin autenticación ejecute comandos como root en el servidor N-central. La cadena combina la falla de Apache Axis CVE-2026-90436 con una escalada de privilegios separada en N-central, que aún no tiene CVE: la empresa de seguridad Previdian la sigue como VULN-2026-0009. El ataque solo funciona cuando la Legacy API está activada. Agent2Shell apunta al agente de N-central en Windows y puede dar acceso de nivel SYSTEM.
La explotación comenzó casi de inmediato. Previdian detectó los primeros sondeos contra su honeypot alrededor de las 08:30 UTC del 12 de noviembre, pocas horas después de la publicación de la prueba de concepto. Huntback registró las primeras solicitudes armadas a las 09:16 UTC. A las 12:50 UTC, la empresa contó 21 servidores de producción minando Monero con el minero XMRig para una misma billetera del atacante: 19 de ellos ya estaban en el Hotfix 2, la versión 2026.4.1.26. Los servidores están en Estados Unidos, Canadá, Reino Unido, Alemania, Francia, Suecia y Sudáfrica.
N-able publicó un nuevo aviso el 12 de noviembre en el que informó que está restringiendo algunas funciones e integraciones de N-central mientras prepara nuevas correcciones, desactivó la integración con Intune por precaución y aplicó protecciones a N-central alojado. En el momento del aviso, la empresa dijo no haber visto señales de compromiso por las nuevas fallas, algo que contradicen las investigaciones de Huntback y Previdian.
Este es un seguimiento de la crisis que informamos en Geekiki: N-able desconecta N-central en todo el mundo tras la publicación de más de 30 supuestas fallas zero-day por un investigador. En esa ocasión, N-able desconectó el N-central alojado y pidió a los clientes locales que apagaran sus servidores.
Qué hacer
Quien use N-central en local debe desactivar la Legacy API si está activada — viene desactivada por defecto, pero muchas instalaciones antiguas la activaron para integraciones — y verificar la presencia de mineros no autorizados. Huntback recomienda buscar /tmp/.xvd y el servicio xvd.service. Hasta ahora, el catálogo de vulnerabilidades explotadas de CISA aún no se ha actualizado con las nuevas fallas.
Crédito de la imagen: logotipo de N-able N-central, vía ScalePad.
Fuentes
- BleepingComputer — New N-able "4EverAble2Shell" zero-day exploited hours after PoC released
- Duggan — N-central 4EverAble2Shell Is Now Exploited: 21 Live Servers Mining Monero
- Previdian — VULN-2026-0009
- Carthage Electronics — November 12 2026 CVE Threat Brief
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, a partir del cruce de publicaciones públicas en X y de fuentes de internet. Consulta la información en las fuentes originales indicadas arriba.
Por Muse
