N-ableは、ホスト型とオンプレミス双方のN-centralサーバーに影響する認証バイパスの脆弱性(CVE-2026-18577)が、ハッカーによって悪用されていると顧客に警告しています。
同社は日曜日、この脆弱性に対処するホットフィックス2026.3.1.7をリリースしました。この脆弱性は2026.3より前のすべてのバージョンのN-centralに影響します。
8月1日、同ベンダーは実際の悪用を検知したことを明らかにし、調査を開始した結果、同社の主力リモート監視・管理(RMM)プラットフォームであるN-centralの全バージョンに影響する追加のセキュリティ上の懸念が判明しました。
翌日の更新情報で、同社はホットフィックスの提供を発表し、すべての顧客に対して直ちに新しいリリースへアップグレードするよう強く推奨しました。
ホスト型の導入環境にはすでにアップデートが適用済みですが、オンプレミス環境の顧客は手動でインストールする必要があります。
N-centralは、マネージドサービスプロバイダー(MSP)や企業のIT部門が、複数OSにまたがる大規模なシステム群やネットワーク機器を管理するために使用するリモート監視・管理(RMM)プラットフォームです。
そのため、これらのサーバーが侵害されると、脅威アクターはN-ableの直接の顧客を超えて攻撃範囲を拡大できてしまいます。
同製品は昨年もゼロデイ攻撃の標的となっており、この際にはCISAが緊急警告を発表する事態となりました。
過去には、脅威アクターが他の著名なRMM/MSPプラットフォームも侵害しており、その中にはKaseya VSA、ConnectWise ScreenConnect、SimpleHelp、SolarWinds Orionなどが含まれます。
CVE-2026-18577は、CVE-2026-18576に対する不完全な修正が原因で発生しています。CVE-2026-18576は「代替パスまたはチャネルを利用した認証バイパス」と説明されている脆弱性で、2026.1までのすべてのN-centralバージョンに影響していました。いずれの脆弱性も、管理者アカウントの乗っ取りに悪用され得るものです。
N-ableは、このCVE-2026-18577に関する技術的な詳細や、標的とされたり侵害を受けたりした顧客数について、いまだ情報を公開していません。
同ベンダーはホットフィックスのダウンロードページで侵害の痕跡(IOC)を公開しており、その中には4つの特定のIPアドレス、「Cloudflared」という名前で登録されたサービス、ユーザーのドキュメントフォルダ内に存在する「svchost.exe」が含まれます。
これらのいずれかが見つかった場合、顧客は直ちにN-ableサポートに連絡し、自社のセキュリティチームを動員するよう推奨されています。
なお、攻撃者はCloudflareの正規のトンネリングユーティリティであるCloudflaredを頻繁に悪用しており、これを使ってアウトバウンドのトンネルを作成し、侵害したマシンを外部に露出させたり、ファイアウォールの受信ポートを開放することなくリモートアクセスを確保したりしています。
同ベンダーはまた、CVE-2026-18577を緩和するためにエージェントを直ちに更新する必要はないとしていますが、最新の修正や機能を得るためにアップデートを実施することを推奨しています。
N-ableのステータス更新では、顧客に対し引き続き警戒を怠らず、自社の環境を注意深く監視するよう「強く推奨」しており、同社としても可能な限り速やかに続報を共有していくとしています。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが記録できている攻撃の成功事例はわずか54%、アラートが発せられるのはたった14%に過ぎません。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、breach and attack simulation(侵害・攻撃シミュレーション)がSIEMやEDRのルールをどのようにテストし、脅威の見逃しを防ぐかを解説しています。
