Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en N-central de N-able

Resumen de la alerta

N-able ha publicado N-central 2026.4 Hotfix 2, compilación 2026.4.1.26, una actualización que corrige siete vulnerabilidades en su plataforma N-central. Dos de los fallos corregidos están clasificados como críticos y los cinco restantes como de severidad alta.

Las vulnerabilidades críticas identificadas como CVE-2026-125883 y CVE-2026-125881 afectan al tratamiento y validación de esquemas XML. Su explotación podría permitir, respectivamente, modificar los esquemas empleados para validar documentos o inducir al servidor N-central a realizar solicitudes hacia destinos de red seleccionados por un atacante.

De acuerdo con la información disponible, no se ha indicado explotación conocida de estas vulnerabilidades. No obstante, por su severidad y por su posible efecto sobre el servidor N-central, las organizaciones afectadas deberían priorizar la actualización.

Recursos afectados

El aviso afecta a los servidores N-central de N-able, tanto en instalaciones locales como en entornos alojados por el fabricante, cuando ejecutan versiones anteriores a N-central 2026.4 Hotfix 2, compilación 2026.4.1.26.

Descripción de las vulnerabilidades

Las dos vulnerabilidades críticas detalladas por N-able están relacionadas con la gestión de documentos y esquemas XML. Los esquemas XML se utilizan para definir la estructura y las reglas que deben cumplir determinados documentos durante su validación.

• CVE-2026-125883: existe una restricción insuficiente sobre las entidades XML externas. Este problema podría permitir alterar los esquemas que N-central utiliza para validar documentos.
• CVE-2026-125881: se trata de una vulnerabilidad de falsificación de peticiones del lado del servidor, o SSRF. Afecta a la validación de esquemas de importación y podría provocar que el servidor N-central envíe peticiones a otros sistemas o destinos de red elegidos por un atacante.

Una vulnerabilidad SSRF implica que un sistema vulnerable puede ser inducido a realizar solicitudes en nombre del atacante. En este caso, la información disponible limita el impacto potencial a la capacidad de hacer que N-central envíe peticiones a destinos seleccionados.

Impacto y nivel de riesgo

Los CVE CVE-2026-125883 y CVE-2026-125881 tienen severidad crítica. Si fueran explotados con éxito, podrían afectar al procesamiento de esquemas XML y a las comunicaciones que el servidor N-central realiza hacia otros sistemas.

La fuente no detalla requisitos previos de autenticación, privilegios, interacción de usuarios ni condiciones concretas para explotar los fallos. Tampoco informa de ataques observados, pruebas de concepto públicas o explotación activa. Por tanto, debe diferenciarse entre el riesgo potencial descrito para estas vulnerabilidades y la ausencia de explotación conocida indicada en el aviso.

Solución y medidas recomendadas

Para instalaciones locales, la medida oficial es actualizar el servidor a N-central 2026.4 Hotfix 2, compilación 2026.4.1.26. Las organizaciones que utilicen versiones anteriores a 2025.4 deben consultar las notas de N-able para seguir la ruta de actualización correspondiente.

En las instalaciones alojadas por N-able, la actualización del servidor es realizada por el fabricante. No obstante, los clientes deben actualizar sus agentes y sondas, tanto en despliegues locales como alojados.

El orden de actualización indicado es el siguiente:

1. Actualizar primero los agentes.
2. Comprobar la versión de Patch Management Engine (PME), que se distribuye automáticamente.
3. Actualizar posteriormente las sondas, para preservar la comunicación y funcionalidades como la caché local de parches.

El hotfix deshabilita temporalmente la función de control remoto integrada. Esta circunstancia debe tenerse en cuenta durante la planificación del cambio y la validación posterior de los servicios.

Recomendaciones para organizaciones afectadas

• Identificar los servidores N-central desplegados, distinguiendo entre instalaciones locales y alojadas por N-able.
• Comprobar si la versión instalada es anterior a 2026.4 Hotfix 2, compilación 2026.4.1.26.
• Planificar la actualización del servidor local conforme a la ruta indicada por N-able, especialmente si el entorno utiliza una versión anterior a 2025.4.
• Actualizar agentes antes que sondas y verificar la versión de PME antes de intervenir sobre estas últimas.
• Valorar el impacto operativo de la desactivación temporal del control remoto integrado incluida en el hotfix.
• En entornos alojados, confirmar la actualización del servidor con N-able y completar las actualizaciones que correspondan a agentes y sondas.