Se explotó una nueva vulnerabilidad de día cero "4EverAble2Shell" de N-able horas después de que se publicara la prueba de concepto.

Los hackers están explotando activamente una vulnerabilidad de día cero de N-able N-central recientemente descubierta, denominada "4EverAble2Shell", para comprometer servidores e implementar mineros de criptomonedas. Los investigadores informan de al menos 21 sistemas afectados, incluyendo 19 que ejecutan la última actualización de seguridad de la compañía.

Los ataques se producen tras la publicación hoy por parte del investigador de seguridad Sean Bales de dos nuevos exploits de día cero, denominados 4EverAble2Shell y Agent2Shell, que, según él, permiten a los atacantes obtener acceso de administrador a los dispositivos N-central y acceso de sistema a los sistemas Windows.

N-central es una plataforma de monitorización y gestión remota (RMM) utilizada por proveedores de servicios gestionados (MSP) y equipos de TI para monitorizar, gestionar y proteger de forma remota los dispositivos y redes de sus clientes.

Las nuevas vulnerabilidades se dieron a conocer el 12 de noviembre, tan solo dos días después de que N-able publicara actualizaciones de seguridad de emergencia para solucionar las vulnerabilidades críticas de día cero de N-central que Bales había divulgado públicamente a principios de esta semana.

Bales publicó pruebas de concepto de exploits para las vulnerabilidades 4EverAble2Shell y Agent2Shell, indicando que fueron probadas contra N-central Appliance 2026.4.1.26 HF2, la actualización de seguridad que N-able lanzó el 10 de noviembre.

El exploit 4EverAble2Shell permite a atacantes no autenticados ejecutar comandos como root en servidores N-central vulnerables. Sin embargo, el investigador señala que la explotación requiere que la funcionalidad de la API heredada de la plataforma esté habilitada.

El ataque combina una vulnerabilidad de Apache Axis, identificada como CVE-2026-90436, con una debilidad de escalada de privilegios independiente de N-central para obtener acceso de nivel root.

El segundo exploit, Agent2Shell, se dirige a la funcionalidad del agente de N-central y, según se afirma, permite a los atacantes ejecutar comandos con privilegios de SYSTEM en dispositivos Windows.

Las revelaciones se produjeron después de que N-able desconectara sus entornos N-central alojados a principios de esta semana e instara a sus clientes con servidores locales a apagarlos tras la publicación por parte de Bales de más de 30 supuestas vulnerabilidades de día cero.

Bales ha criticado la gestión de N-able respecto a las revelaciones de vulnerabilidades y la lentitud de la empresa para corregir las fallas divulgadas de forma responsable.