N-ableは、自社の主力RMM(遠隔監視管理)プラットフォームであるN-centralに存在する深刻な脆弱性が実際に悪用されていることを確認しました。これを受けて緊急ホットフィックスを公開し、マネージドサービスプロバイダー(MSP)各社に対して即時のパッチ適用を強く呼びかけています。
この欠陥はN-ableによって8月1日から2日にかけて公表されたもので、2026.3リリースラインを含む現在サポートされているすべてのバージョンのN-centralに影響し、クラウドホスト型・オンプレミス型の両展開形態が対象となります。このインシデントについて迅速な分析結果を公表したセキュリティベンダーのHuntressによれば、悪用に成功すると、認証を経ていない攻撃者がN-centralコンソールに対して管理者権限、いわば「ゴッドモード」でのアクセス権を得る可能性があるとしています。これは通常、信頼された技術担当者やNOC(ネットワークオペレーションセンター)スタッフにのみ与えられるレベルの制御権限です。
追跡状況と根本原因
N-ableが最初に公開したアドバイザリでは、この問題はCVE-2026-18556に関連付けられていました。しかしその後のホットフィックスは、2つ目の識別子であるCVE-2026-18577に紐づけられており、その説明によれば、先のCVEに対する修正が不完全だったため、2026.3.1までのN-centralバージョンにおいて認証バイパスとアカウント乗っ取りの経路が残されていたとのことです。
N-ableは8月2日にホットフィックスとなるバージョン2026.3.1.7をリリースし、すべての顧客に対して遅滞なくアップグレードするよう強く呼びかけています。同社は根本原因に関する詳細な技術情報をまだ公表しておらず、Huntressも攻撃チェーンに関する自社の見解は今後の情報公開に伴い変化する可能性があると注記しています。
攻撃者によるアクセスの悪用方法
Huntressによると、侵害されたN-centralコンソールに侵入した攻撃者は、標準搭載のTake Control機能を悪用し、RMMサーバーからドメインコントローラーを含む管理対象のエンドポイントへと侵入範囲を広げる動きが確認されています。さらに、持続的なアクセスを維持するためCloudflareベースのトンネルを展開していることも確認されています。同じアクセス権限を使えば、管理下のシステム群全体に新たなスクリプトやジョブを配布したり、リモート制御セッションを起動したり、アカウントやロール、MFA設定といったセキュリティ関連の構成を変更したりすることも可能です。
1台のN-centralサーバーが多数の下流の顧客組織にまたがってエンドポイントを管理できることから、RMM層での侵害は攻撃者の影響範囲を実質的に何倍にも広げてしまいます。こうしたリスク特性のため、RMMプラットフォームはMSPのサプライチェーンを狙う脅威アクターにとって繰り返し標的にされる存在となっています。
Huntressは、自社の顧客基盤の中でこれまでに1社において悪用の影響を確認したとしており、関連する活動がないかテレメトリ全体を引き続き調査するとともに、N-centralを運用しているパートナー企業を優先してログの精査強化と迅速なエスカレーションを進めているとしています。
検知方法と侵害指標
Huntressは、N-ableの調査結果に関連するIPアドレス4件とホスト名3件を含む侵害指標(IOC)を公表し、防御担当者に対してN-centralのアクセスログ、ファイアウォール、プロキシ、WAFにこれらとの接触がないか確認するよう呼びかけています。N-centralが管理するWindowsエンドポイントでは、不審なTake Controlセッションのログの痕跡がC:\ProgramData\GetSupportService_N-Central\Logs\以下に残されていることが同社によって確認されていますが、これらのファイルは正規のサポート活動によっても生成されるため、閲覧者のIPアドレス、アカウントの身元、対象ホストの重要度と照らし合わせて裏付けを取ってから侵害の証拠として扱うべきだと注意を促しています。
推奨される対応
N-ableとHuntressは、N-centralの顧客に対して次の対応を強く推奨しています。まず、ホットフィックスであるバージョン2026.3.1.7を直ちに適用すること。次に、コンソールへのアクセスをインターネットに公開するのではなく、ファイアウォールルールやVPN経由に制限すること。さらに、すべてのアカウントで多要素認証を必須にすること。そして、直近のログイン履歴、アカウントの変更、自動化ジョブについて、説明のつかないものがないか監査することです。露出を迅速に減らせない組織については、Huntressはホットフィックスを適用できるまでN-centralを一時的にオフラインにし、より厳格なネットワーク制御下でサーバーを再稼働させることも検討するよう提案しています。
さらに詳しいガイダンスやリリースノートは、N-ableのステータスページおよびサポートページで確認できます。Huntressは、この脆弱性とその悪用に関する詳細情報が明らかになり次第、アドバイザリを随時更新していくとしています。
