攻撃者は、マネージドサービスプロバイダー(MSP)に広く利用されているリモート監視・管理(RMM)ソリューション「N-able N-central」の認証バイパス脆弱性(CVE-2026-18577)を悪用し、管理下エンドポイントへのアクセスを得ています。
脆弱性発見の経緯
「2026年7月31日、N-ableはオンプレミス版N-centralの顧客においてライセンス関連の問題が増加していることを確認しました。ライセンスの問題自体は珍しくありませんが、その件数が多かったため、エンジニアリングチームとセキュリティチームが調査に当たりました」とN-ableは明らかにしています。
「2026年8月2日の朝、2026.2で修正済みだった脆弱性(CVE-2026-18556)について分析を進めたところ、この脆弱性を悪用する別の経路が判明しました」。
同社はこの新たな脆弱性にCVE-2026-18577の番号を割り当て、バージョン2026.3.1.7(すなわち2026.3 Hotfix 1)より前の全てのN-centralバージョンが影響を受けることを確認しました。
このホットフィックスは、ベンダーがホストするN-centralインスタンスには自動的に配信・適用されますが、自己ホスト型の展開環境では顧客自身が適用する必要があります。
活発な悪用と遅々として進まないパッチ適用
N-ableによると、攻撃者は「一部の」顧客の導入環境に侵入し、管理者アカウントを乗っ取った上で、Take Control機能を悪用して管理下エンドポイントに接続していました。
「これらのデバイスに侵入した後、攻撃者はCloudflareトンネル用の新しいサービスを登録し、N-centralサーバーへのアクセスが遮断された後も環境内に持続的にとどまれるようにしていました」と同社は明らかにしています。
中小企業やそれらを支援するMSPを対象とするマネージドセキュリティ企業のHuntressは、CVE-2026-18577の悪用が現在進行中であることを確認しています。
同社によると、自社の顧客基盤の中で1組織において悪用の被害を確認しており、テレメトリ全体でN-central関連の活動を引き続き探索するとともに、N-ableが説明した攻撃手口と一致するログの確認を続けているとのことです。
「この特定の脆弱性にとどまらず、修正版であるホットフィックス2026.3.1.7への更新がまだ行われておらず、脆弱性の悪用を防げていない環境を数多く確認しています」と、Huntressの研究者は月曜日に述べています。
「本アップデートの投稿時点で、当社のパートナーおよび顧客が保有する到達可能なクラウドサーバーのうち、半数以上(55.6%)が依然として未パッチの状態でした。N-ableのサーバーはAlmaLinux 9のカスタムディストリビューションで稼働しており、アプライアンスとして動作するためEDRソフトウェアが導入されていないケースが多いことから、これは特に懸念すべき点です」。
検知と緩和策
RMMツールは、後続の攻撃の足がかりを築いたり、標的組織内でより深く侵入したりするために多数の組織へアクセスしたい攻撃者にとって、格好の標的です。
攻撃者がN-centralの脆弱性を標的にしたのは、これが初めてではありません。
自己ホスト型のN-centralサーバーを運用している組織は、修正版へのアップグレードを行い、管理者アカウントが乗っ取られた兆候がないかサーバーを確認する必要があります。また、攻撃者が持続的なアクセスを確立した場所であるため、N-central経由で管理されているエンドポイントについても点検する必要があります。
「影響を受けているかどうかを検知するには、管理対象デバイスのDocumentsフォルダー内に『svchost.exe』という名前のファイルがないか確認し、『Cloudflared』という名前で登録されたサービスがないか確認してください」とN-ableは指示しています。
同社は攻撃者が使用したIPアドレスの一覧を公開しています。
Huntressによると、この脆弱性は通常、信頼されたネットワークオペレーションおよびエンジニアリング担当スタッフにのみ許されているのと同等の制御権限を攻撃者に与えてしまいます。これにより攻撃者は、管理下エンドポインへ新たなスクリプトやジョブをプッシュしたり、N-ableエージェント経由でリモートトンネルや探索ツールといったデュアルユースツールを展開・実行したり、サーバーやワークステーション(ドメインコントローラーなどの重要システムを含む)へのリモート制御セッションを開始したりすることが可能になります。
研究者らはさらに、攻撃者はロール・アカウント・ポリシーといったセキュリティ関連の設定を変更し、後続の攻撃活動への布石を打つこともできると付け加えています。
これまでのところ、これらの攻撃に関連して観測された活動は、管理下エンドポインへの持続的アクセスの確立に集中しています。
Huntressは、影響を受ける可能性のある組織に対し、N-centralの導入環境を隔離すること、更新と堅牢化を行うこと、不審なログインやアカウント・権限の変更、新規または変更されたジョブや自動化処理がないか確認すること、そして直近のTake Controlセッションを見直すことを推奨しています。
「N-centralを停止するかどうかは重大な判断であり、パニックではなくリスクに基づいて決定すべきです。一方で、侵害されたRMMは管理下にある全てのクライアントに対する攻撃の増幅装置として悪用されかねません。他方で、N-centralをオフラインにすれば、まさに必要とされる場面で中央からの可視性やパッチ適用、リモートアクセスの機能が失われることになります」とHuntressのアナリストは述べています。
「私たちの狙いは、全てのN-able顧客にRMMの停止を勧めることではなく、この選択肢を意識的に検討していただくことです。リスクの高い環境や、露出を有効に低減できない場合には、N-ableのホットフィックスを適用できるようになるまで一時的にN-centralを無効化することが、より安全な選択となる可能性があります」。
翻訳元: https://www.helpnetsecurity.com/2026/08/03/cve-2026-18577-n-able-n-central-vulnerability/
