Lo esencial en breve<\/p>\n
- \n
- CISA incluye el CVE-2026-86218 en su cat\u00e1logo de vulnerabilidades explotadas el 8 de septiembre de 2026.<\/strong> El plazo para las instituciones federales estadounidenses finaliz\u00f3 el 11 de septiembre de 2026. Esto no implica una obligaci\u00f3n legal para operadores fuera de la administraci\u00f3n estadounidense.<\/li>\n
- N-able clasifica la gravedad seg\u00fan CVSS 4.0 como 10,0.<\/strong> Cualquier versi\u00f3n anterior a la 2026.3.1.14 permite la ejecuci\u00f3n de c\u00f3digo en el servidor N-central sin necesidad de autenticaci\u00f3n.<\/li>\n
- N-able comunic\u00f3 el 6 de septiembre de 2026 que no hab\u00eda confirmado explotaciones en entornos productivos.<\/strong> El 9 de septiembre, a las 13:49 UTC, el fabricante a\u00f1adi\u00f3 que se hab\u00edan registrado casos exitosos de explotaci\u00f3n contra clientes de N-central.<\/li>\n
- Quienes alojan N-central por su cuenta deben aplicar el Hotfix 4 de la versi\u00f3n 2026.3 en el servidor.<\/strong> Para N-central on Demand, la versi\u00f3n corregida la proporciona directamente el fabricante. No es necesario actualizar el agente para esta CVE.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Atacantes leen archivos de GitLab sin autenticaci\u00f3n \u00b7 CISA establece plazo: instituciones estadounidenses deben parchar MikroTik<\/p>\n
CISA incluye la vulnerabilidad de N-central desde el 8 de septiembre<\/h2>\n
La Cybersecurity and Infrastructure Security Agency (CISA) incorpor\u00f3 el CVE-2026-86218<\/strong> en su cat\u00e1logo de vulnerabilidades explotadas conocidas el 8 de septiembre de 2026. Este registro, bajo el nombre Known Exploited Vulnerabilities<\/em>, documenta fallos para los que la agencia estadounidense confirma explotaci\u00f3n activa. Para las instituciones federales de EE.UU., esto implica una obligaci\u00f3n de correcci\u00f3n basada en la Binding Operational Directive 26-04<\/em>, una directiva operativa de la agencia. El plazo para esta CVE venci\u00f3 el 11 de septiembre de 2026. Para operadores fuera de la administraci\u00f3n estadounidense, la inclusi\u00f3n funciona como se\u00f1al t\u00e9cnica con fecha l\u00edmite, aunque no existe equivalente legal en Alemania.<\/p>\n
\n\u00bfQu\u00e9 es N-able N-central?<\/strong> N-central es un software de Remote Monitoring and Management<\/em> (RMM). Proveedores de servicios TI y departamentos internos de inform\u00e1tica gestionan desde un servidor centralizado servidores, PCs y dispositivos de red de sus clientes. La vulnerabilidad ahora corregida reside en este servidor central, no en los agentes de los equipos finales.<\/p>\n<\/div>\n
N-able asigna la identificaci\u00f3n como CVE Numbering Authority<\/em> y clasifica la gravedad seg\u00fan el Common Vulnerability Scoring System<\/em> (CVSS) en su versi\u00f3n 4.0 con un valor m\u00e1ximo de 10,0. Esta escala mide la severidad de la vulnerabilidad. La firma de ciberseguridad Arctic Wolf la clasifica como inyecci\u00f3n de c\u00f3digo est\u00e1tico (CWE-96), una clase de debilidad en la que datos controlables llegan al servidor y se ejecutan como c\u00f3digo. Hasta la fecha, la National Vulnerability Database<\/em> no ha publicado una valoraci\u00f3n propia seg\u00fan CVSS 3.1.<\/p>\n
\n10,0 seg\u00fan CVSS 4.0<\/div>\nN-able asigna el valor m\u00e1ximo. El plazo de CISA para instituciones federales estadounidenses finaliz\u00f3 el 11 de septiembre de 2026.<\/div>\nCVE.org sobre el valor CVSS 4.0, fecha 6 de septiembre de 2026<\/div>\n<\/div>\nEl servidor de administraci\u00f3n puede ser comprometido sin necesidad de inicio de sesi\u00f3n<\/h2>\n
El aviso del fabricante clasifica la vulnerabilidad como Pre-Authentication Remote Code Execution<\/em>. Un atacante logra ejecutar c\u00f3digo en el servidor N-central antes de presentar credenciales. Este servidor act\u00faa como el centro de control de un entorno de asistencia remota: desde all\u00ed se inician servicios y scripts en los dispositivos gestionados. Los accesos a estos dispositivos tambi\u00e9n pasan por el mismo servidor. Quien tome el control de este servidor accede a los dispositivos conectados. Seg\u00fan las indicaciones del fabricante, para CVE-2026-86218 no existe un vector de ataque independiente a trav\u00e9s de los agentes en los dispositivos finales.<\/p>\n
Est\u00e1n afectadas todas las versiones anteriores a 2026.3.1.14. N-able considera este build<\/em> como la primera versi\u00f3n corregida.<\/p>\n
N-able observa un n\u00famero reducido de casos entre sus clientes<\/h2>\n
El 6 de septiembre de 2026, N-able public\u00f3 en su p\u00e1gina de estado que no hab\u00eda confirmado explotaci\u00f3n en entornos productivos. El mismo comunicado se\u00f1alaba los servidores sin parchear como riesgo. El 9 de septiembre de 2026, a las 13:49 UTC, la empresa actualiz\u00f3 su blog corporativo para ampliar la informaci\u00f3n. En el momento del hotfix<\/em>, un investigador independiente hab\u00eda explotado con \u00e9xito la vulnerabilidad en su propio entorno de producci\u00f3n; en ese instante, N-able no registraba casos confirmados entre sus clientes de N-central. Desde entonces, el fabricante ha observado un n\u00famero limitado de explotaciones exitosas contra clientes de N-central, aunque no especifica cifras exactas. La investigaci\u00f3n sigue en curso y los clientes afectados reciben atenci\u00f3n directa.<\/p>\n
SecurityWeek inform\u00f3 el 8 de septiembre de 2026 sobre la vulnerabilidad como Zero-Day<\/em>, es decir, una brecha para la que ya exist\u00eda un m\u00e9todo de explotaci\u00f3n antes de la publicaci\u00f3n del parche. Seg\u00fan el informe, N-able recomend\u00f3 revisar la creaci\u00f3n de cuentas de usuario nuevas en el servidor. La misma cobertura mencionaba escaneos procedentes de la red 23.234.64.0\/18 como actividad observada. El blog corporativo del 9 de septiembre repite estos puntos de verificaci\u00f3n, incluyendo cuentas con direcciones terminadas en .invalid. N-central genera cuentas internas con esta terminaci\u00f3n; una nueva cuenta de este tipo podr\u00eda indicar una creaci\u00f3n no autorizada. La actualizaci\u00f3n a la build corregida cierra la vulnerabilidad. Para determinar si un servidor concreto fue explotado en los d\u00edas previos, solo una auditor\u00eda forense de la instalaci\u00f3n correspondiente podr\u00eda confirmarlo.<\/p>\n
El entorno autohospedado requiere Hotfix 4; el fabricante gestiona N-central on Demand<\/h2>\n
N-able ha aplicado el parche a su variante de alojamiento N-central on Demand<\/em> sin necesidad de acci\u00f3n por parte del cliente. Quienes autohospedan N-central deben instalar el Hotfix 4 (2026.3) en su propio servidor. Los usuarios que adquieren N-central a trav\u00e9s de un proveedor de servicios dependen del servidor de ese proveedor, por lo que el cliente final del mantenimiento remoto no tiene que realizar actualizaciones propias. Seg\u00fan el aviso, no es necesario actualizar los agentes en los dispositivos gestionados, ya que el parche act\u00faa \u00fanicamente en el servidor.<\/p>\n
N-able ofrece el Hotfix 4 (2026.3) como build 2026.3.1.14, que corrige la vulnerabilidad CVE-2026-86218 en el servidor. El Hotfix 3 (build 2026.3.1.13) no cubre esta CVE, aunque s\u00ed solucionaba las vulnerabilidades hermanas CVE-2026-86206 y CVE-2026-86207 de la misma l\u00ednea de productos. Quienes solo hayan aplicado el Hotfix 3 operan con un servidor en el que persiste la vulnerabilidad ahora registrada oficialmente.<\/p>\n
\nVersiones de servidor afectadas<\/p>\n
\n - N-able clasifica la gravedad seg\u00fan CVSS 4.0 como 10,0.<\/strong> Cualquier versi\u00f3n anterior a la 2026.3.1.14 permite la ejecuci\u00f3n de c\u00f3digo en el servidor N-central sin necesidad de autenticaci\u00f3n.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-gitlab-dateien-ohne-login-cover-hero-3-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-mikrotik-nach-ssh-uebernahmen-cover-hero-1-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisco-bestaetigt-fmc-root-ohne-anmeldung-cover-hero-250x143.jpg\")
<\/span>