CISA、N-ableの脆弱性を悪用した攻撃について警告

サイバーセキュリティ機関であるCISAは、N-ableのリモート監視および管理（RMM）製品「N-central」を利用している組織に対し、最近修正された2つの脆弱性が実際に悪用されているとして警告を発しています。

N-centralは、MSPやITチームに対して管理、自動化、オーケストレーション機能を提供するよう設計されています。

N-ableは8月13日、同製品の新バージョン「2025.3」に、CVE-2025-8875およびCVE-2025-8876として追跡されている2つの脆弱性に対する「重大なセキュリティ修正」が含まれていることを顧客に通知しました。

「これらの脆弱性を悪用するには認証が必要です。しかし、未修正の場合、N-central環境のセキュリティに潜在的なリスクがあります」とベンダーは述べています。

CVE-2025-8875は安全でないデシリアライズの問題、CVE-2025-8876はコマンドインジェクションの脆弱性と説明されています。N-ableは、詳細については3週間後に公開するとしています。

N-ableのアドバイザリには、これらの脆弱性が実際に悪用されていることについては記載されていませんが、CISAはこれらを既知の悪用済み脆弱性（KEV）カタログに追加しました。同機関は、政府機関に対し8月20日までにセキュリティホールを修正するよう指示しています。

CISAがこれらを公表と同日にKEVカタログに追加したこと、また技術的な情報やPoC（概念実証）エクスプロイトが公開されていないことから、これらの脆弱性がゼロデイとして悪用された可能性があります。

業界の専門家は、N-centralがMSPによって利用されていることを踏まえ、脅威アクターがこれらの脆弱性を悪用してMSPの顧客環境にアクセスする可能性があると警告しています。

広告。スクロールして続きをお読みください。

なお、N-ableは2021年にSolarWindsからスピンオフして設立された企業であり、SolarWindsは2020年に大規模なサプライチェーン攻撃の標的となっています。

SecurityWeekはN-ableにコメントを求めており、同社から回答があれば本記事を更新します。