N-ableは、広く導入されているリモート監視・管理(RMM)プラットフォーム「N-central」における深刻な脆弱性が、実際に悪用されていることを確認しました。この脆弱性を突かれると、攻撃者はMSPが全顧客のエンドポイントを監督するために使用するコンソールに、認証なしで管理者権限アクセスを取得できてしまいます。
この欠陥は、クラウドホスト型・オンプレミス型の両方の展開において、2026.3を含む現在サポートされているN-centralの全バージョンに影響します。
N-ableは8月2日に緊急ホットフィックスとなるバージョン2026.3.1.7をリリースし、全顧客に対して直ちにアップグレードするよう緊急の推奨を行いました。
CVE-2026-18556として追跡されているこの脆弱性と、それに関連するバイパスのCVE-2026-18577は、不完全なパッチに起因するもので、認証バイパスとアカウントの完全な乗っ取りを許してしまいます。
N-centralはMSPの運用の中枢に位置しているため、サーバーが侵害されると事実上の「フォースマルチプライヤー」と化してしまいます。攻撃者はスクリプトを送り込んだり、デュアルユースツールを展開したり、このプラットフォームが管理する下流の全エンドポイント上でリモート制御セッションを開いたりできるようになります。
セキュリティ企業のHuntressは、N-ableの開示情報と並行して悪用状況を追跡しており、少なくとも1つの顧客環境で実際の悪用が確認されたと報告しています。また、この攻撃チェーンはN-centralに組み込まれた「Take Control」機能を悪用しているとも指摘しています。
Huntressはさらに、N-ableが当初悪意あるものとしてフラグを立てた複数のIPが、実際にはNordVPNやMullvadが運営するVPN出口ノードにたどり着くものであることを発見しました。これにより攻撃者の特定は複雑化していますが、そのうち1つのアドレスにはブルートフォース攻撃やスパムキャンペーンへの関与歴があったとのことです。
最新のアップデート時点で、Huntressが監視している到達可能なN-centralクラウドサーバーの半数以上が未パッチのままとなっています。N-ableのアプライアンスはカスタマイズされたAlmaLinux 9ディストリビューションで稼働しており、通常エンドポイント検知・対応(EDR)のカバレッジを欠くという事実が、このギャップをさらにリスクの高いものにしています。
N-ableとHuntressは、MSPに対して2026.3.1.7のホットフィックスを遅滞なく適用すること、そしてコンソール自体を強化が必要な重要標的として扱うことを強く求めています。
推奨されている対策には、N-centralへのパブリックインターネットからのアクセス制限、多要素認証の強制、既知のIP範囲へのログイン制限、そして侵害の兆候がないか最近のアカウント変更・新規管理者ユーザー・リモート制御セッションを監査することが含まれます。
直ちにパッチを適用できない、あるいは露出したサーバーを隔離できない組織に対しては、修復が完了するまでN-centralを一時的にオフラインにすることを検討するよう助言されています。
検知の取り組みは、N-centralのUIおよびリモートアクセスログに焦点を当てており、不審なセッションを既知の指標となるIPやサポートアカウントの悪用と照合するとともに、WindowsシステムにTake Control関連の活動が残すエンドポイントの痕跡とも突き合わせています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再度ファング処理を行う際は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと事業への支障を軽減しましょう。
翻訳元: https://cyberpress.org/critical-n-able-n-central-flaws-actively-exploited/