Múltiples vulnerabilidades en N-central de N-able
Fecha de publicación 11/11/2026
Identificador
INCIBE-2026-852
Importancia
5 - Crítica
Recursos Afectados
Servidores N-central con versiones anteriores a 2026.4 Hotfix 2, compilación 2026.4.1.26, tanto en instalaciones locales como alojadas por N-able.
Descripción
N-able ha publicado una actualización que corrige 7 vulnerabilidades en N-central, 2 de severidad crítica y 5 altas. Los fallos críticos podrían permitir manipular el procesamiento de esquemas XML o hacer que el servidor envíe peticiones a otros sistemas.
Solución
- En instalaciones locales, actualizar el servidor a N-central 2026.4 Hotfix 2, compilación 2026.4.1.26. Para instalaciones anteriores a 2025.4, consultar la ruta de actualización en las notas de N-able.
- En instalaciones alojadas, N-able actualiza el servidor. Los clientes deben actualizar sus agentes y sondas en ambos tipos de instalación.
- Actualizar primero los agentes y después las sondas. Patch Management Engine (PME) se distribuye automáticamente. Comprobar su versión antes de actualizar las sondas para conservar la comunicación y funciones como la caché local de parches.
El hotfix deshabilita temporalmente la función de control remoto integrada.
Detalle
- CVE-2026-125883: una restricción insuficiente de las entidades XML externas podría permitir alterar los esquemas utilizados por N-central para validar documentos.
- CVE-2026-125881: una falsificación de peticiones del lado del servidor (SSRF) en la validación de esquemas de importación podría hacer que N-central envíe peticiones a destinos de red elegidos por un atacante.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-125883 | Crítica | No | N-ABLE |
| CVE-2026-125881 | Crítica | No | N-ABLE |
Listado de referencias
Etiquetas
