Un parche que necesitó una secuela

La cronología de N-able se lee como una vulnerabilidad que se negaba a quedar cerrada. CVE-2026-18556, un fallo de omisión de autenticación en N-central, se parcheó primero. Los atacantes encontraron después, en palabras de la propia N-able, 'una variante que evade las comprobaciones específicas del parche anterior,' registrada como CVE-2026-18577, explotada desde alrededor del 1 de agosto y añadida al catálogo de vulnerabilidades explotadas conocidas de la CISA el 3 de agosto. N-able publicó el Hotfix 1, versión 2026.3.1.7, el 2 de agosto. Ahi debería haber terminado la historia.

No fue así. El 10 de agosto, N-able publicó el Hotfix 2, versión 2026.3.1.10, descrito como necesario incluso para clientes que ya habían aplicado el Hotfix 1. La propia actualización de seguridad del proveedor de esa fecha confirma que, para entonces, los atacantes habían alcanzado un número limitado de redes de clientes, tomado el control de cuentas de administrador y usado la función Take Control de la plataforma para tocar endpoints gestionados. Un segundo parche obligatorio ocho días después del primero es la señal mas clara posible de que el primer parche no cerró del todo la puerta.

El ransomware que responde a la pregunta que planteaba la cronología del parche

La pregunta abierta tras el Hotfix 1 era sí la omisión se había usado realmente para algo mas allá del reconocimiento. La atribución de Microsoft del 10 de agosto la responde: Storm-1175, un grupo con motivación económica vinculado a China que Microsoft rastrea desde al menos sus anteriores campañas de ransomware Medusa, desplegó una cepa hasta ahora no documentada, StormEncryptor, obteniendo probablemente el acceso inicial a través de CVE-2026-18577. Es la primera actividad observada del grupo desde abril de 2026, y su primer movimiento documentado de abandono de Medusa.

StormEncryptor está escrito en C++, añade '.encrypted' a los archivos bloqueados y deja una nota de rescate titulada '!!!README_FIRST!!!.txt' en cada directorio analizado. Microsoft describe al grupo pasando del compromiso inicial a la exfiltración de datos y al despliegue del ransomware en cuestión de días, usando AnyDesk y SimpleHelp para acceso remoto, Advanced IP Scanner para reconocimiento y Mimikatz para volcar credenciales de LSASS. Es un conjunto de herramientas concreto y identificable que el equipo de respuesta de un proveedor gestionado puede buscar directamente, en lugar de una advertencia genérica de 'revisar el nivel de parche.'

Por que una consola comprometida es problema de todos

N-central existe precisamente para que un solo técnico de un proveedor gestionado pueda administrar muchas redes de clientes desde una única consola, usando la función Take Control para llegar a cualquier endpoint gestionado sin visitarlo. Ese diseño es toda la propuesta de valor del producto, y es también exactamente lo que Storm-1175 explotó: tomar el control de administrador de una consola N-central da a un atacante el mismo alcance sobre cada red de cliente que esa consola gestiona legítimamente. N-able ha descrito el número de víctimas confirmadas como 'limitado' pero no ha publicado una cifra, nombrado a los proveedores afectados ni especificado que sectores subordinados se vieron tocados.

Ese silencio traslada la carga a toda organizacion que externaliza su TI a un proveedor gestionado que usa N-central para preguntar directamente, en lugar de asumir: se ha confirmado que la instancia de N-central de nuestro proveedor está limpia, no solo parcheada dos veces, y se ha comprobado con los indicadores concretos que publicó Microsoft, servicios de Cloudflare Tunnel, instalaciones de AnyDesk o SimpleHelp que el proveedor no autorizó, y cualquier acceso a LSASS compatible con el uso de Mimikatz.

Dos relatos públicos del mismo agujero, con ocho días de diferencia

El 3 de agosto de 2026, el relato publicó de CVE-2026-18577 era una historia de gestión de vulnerabilidades: una omisión de parche, añadida a un catálogo de cumplimiento, con un plazo federal de remediación. Ese encuadre invita a una respuesta de casilla marcada, parchear y seguir adelante. Para el 10 de agosto, el encuadre había cambiado a una historia de intrusión activa: una familia de ransomware nombrada y hasta entonces no documentada, atribuida a un grupo que Microsoft vincula con China, moviéndose ya por redes en cuestión de días.

Los siete días entre esos dos encuadres son la lección real para cualquier organizacion que trate un listado KEV como el final de la historia de una vulnerabilidad en lugar de como el inicio de una respuesta a incidentes. Un número de CVE indica que hay que parchear. No indica sí alguien ya entró antes de que usted lo hiciera, y en este caso, la propia cronología de N-able confirma que algunos clientes lo descubrieron de la segunda forma.

Leer a continuación: Una IA ejecutó todo este ataque de ransomware sola  |  Un certificado compartido es lo que deja entrar a Qilin