N-able、N-centralサーバーへの侵入に悪用された脆弱性を修正

N-ableは、同社のリモート監視管理(RMM)製品「N-central」のユーザーを標的に実際に悪用されていた脆弱性に対し、パッチをリリースしました。

CVE-2026-18577として追跡されているこの脆弱性は、認証バイパスの問題であり、N-centralのバージョン2026.3.1.7より前のバージョンでアカウントを乗っ取るために悪用される可能性があると説明されています。オンプレミス環境とクラウドホスト型の両方の展開が影響を受けます。

N-centralは、顧客のサーバーやエンドポイントを監視、パッチ適用、リモートアクセスするためにMSP(マネージドサービスプロバイダー)に広く利用されています。

CVE-2026-18577は新規のゼロデイ脆弱性ではありません。N-ableはこれを、以前パッチが適用された脆弱性CVE-2026-18556を悪用する新たな手法であると説明しています。

脅威アクターはCVE-2026-18556に対するパッチを回避し、7月下旬から悪用を開始したとみられています。同ベンダーは7月31日にライセンス関連の問題が増加していることに当初気づき、8月2日にCVE-2026-18577の悪用を確認しました。

この脆弱性の悪用により、攻撃者は標的となったN-centralシステムへの管理者アクセス権を取得できていました。

「悪用後、攻撃者はTake Control機能を利用し、N-centralが管理する環境内のシステムに接続しました。これらのデバイスに侵入した後、攻撃者はCloudFlareトンネル用の新しいサービスを登録し、N-centralサーバーへのアクセスが遮断された後も環境への永続的なアクセスを維持できるようにしていました」と、N-ableはインシデント通知の中で述べています。

N-ableは「影響を受けた顧客は限定的」としていますが、同様にCVE-2026-18577を悪用する攻撃を確認しているサイバーセキュリティ企業のHuntressによると、8月3日時点で多くの組織がまだパッチを適用しておらず、依然としてハッキングの危険にさらされているといいます。

「MSPの観点から見ると、この欠陥の悪用によって攻撃者はN-centralコンソールへの完全な管理者アクセス権を得る可能性があります。これは通常、信頼できるNOC(ネットワークオペレーションセンター)やエンジニアリングスタッフにのみ許される制御レベルです」とHuntressは警告しています。

さらに同社は次のように付け加えています。「コンソール内部に侵入すると、脅威アクターは次のようなことが可能になります。多数あるいはすべての管理対象エンドポイントへの新しいスクリプトやジョブのプッシュ、N-ableエージェントを介したデュアルユースツール(リモートトンネルや探索ユーティリティなど)の展開と実行、ドメインコントローラーをはじめとする重要システムを含むサーバーやワークステーションへのリモート制御セッションの開始、そして後続の攻撃活動への布石として、ロール・アカウント・ポリシーといったセキュリティ関連設定の変更です」

侵害の痕跡(IoC)は、N-ableとHuntressの両社から公開されています。

CVE-2026-18577の悪用が明らかになったのは、N-centralの脆弱性CVE-2025-8875とCVE-2025-8876の悪用について組織に警告が出されてから、ちょうど1年が経とうとしている時期にあたります。