N-central CVE-2026-86218: parche a la compilación HF4 2026.3.1.14 ya disponible

N-able ha publicado un hotfix para CVE-2026-86218, una vulnerabilidad crítica de ejecución remota de código previa a la autenticación en su plataforma de monitorización y gestión remota N-central. La empresa le asignó una puntuación CVSS 4.0 de 10.0 y la clasificó como una debilidad de inyección de código estático (CWE-96). Los despliegues locales y autohospedados de N-central deben actualizarse a 2026.3 Hotfix 4, build 2026.3.1.14; las instancias NCOD alojadas en la nube de N-able ya han sido parcheadas por el proveedor.

Alcance y ruta de actualización

La vulnerabilidad afecta a todas las compilaciones de N-central publicadas antes de 2026.3.1.14, incluidos los servidores que ya estaban en Hotfix 3 (build 2026.3.1.13), que N-able había distribuido solo horas antes para solucionar dos problemas no relacionados. Los clientes en 2025.4, 2026.1, 2026.2, 2026.3 o 2026.3.1 Hotfix 1 o 2 pueden actualizar directamente a HF4; cualquiera que esté en una versión anterior debe pasar primero a una versión compatible y luego aplicar el hotfix. Como la corrección reside en el propio servidor de N-central, no se requiere una actualización del agente para la protección.

Una tercera vulnerabilidad en un breve periodo

CVE-2026-86218 se divulgó un día después de que N-able corrigiera otros dos problemas de N-central, incluido un bypass del filtro de control de acceso (CVE-2026-86206) que podría exponer API internas no destinadas a ser accesibles externamente; ese par estaba vinculado al descubrimiento de un servidor de cliente recomprometido. N-able indica que CVE-2026-86218 se divulgó de forma responsable a través de su propio programa de divulgación de seguridad.

Informes contradictorios sobre la explotación

La posición oficial de N-able es que no tiene confirmación de que la vulnerabilidad haya sido explotada en entornos de producción, aunque insta a tratar los sistemas sin parchear como en riesgo. La cobertura informativa de la divulgación ha sido inconsistente en este punto: algunas informaciones describen la vulnerabilidad como activamente explotada basándose en las propias declaraciones de N-able, mientras que el respondedor de incidentes Huntress afirma que no ha reproducido de forma independiente la vulnerabilidad ni ha atribuido nuevos compromisos a ella desde la actualización del 6 de septiembre. Los MSP deben parchear asumiendo el riesgo en lugar de esperar a que se confirme la explotación de una u otra forma.

Al tratarse de una vulnerabilidad previa a la autenticación, una consola de N-central expuesta a internet es la vía de ataque principal: restringir el acceso entrante a la consola mientras se programa la actualización es un paso interino razonable. Esta es la tercera divulgación de N-central en cuestión de semanas, por lo que hay que tratar la actualización a HF4 como parte de una auditoría de versión más amplia y no como un parche aislado.

Fuentes: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.