N-able N-central、脆弱性が実際に悪用される

eSecurity Planet のコンテンツおよび製品に関する推奨は、編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社が収益を得る場合があります。詳細はこちら

N-ableのリモート監視・管理(RMM)プラットフォーム「N-central」に存在する脆弱性が、実際の攻撃で悪用されています。

この脆弱性を悪用すると、攻撃者はN-centralコンソールへの認証不要の管理者アクセス権を取得でき、同プラットフォームで管理されているすべてのエンドポイントを制御できるようになります。

Huntressの研究者は勧告の中で、「実際の悪用が確認されている。侵害されたN-centralサーバーは、配下のあらゆるエンドポイントに対してスクリプトの実行、ツールの展開、リモートセッションの開始に利用され得る」と述べています。

N-able N-central脆弱性の要点

脅威アクターがN-able N-centralの脆弱性を積極的に悪用し、認証不要の管理者アクセスを取得
MSPおよび企業のITチームが利用する、サポート対象のクラウドホスト型・オンプレミス型すべてのN-central環境が対象
CVE-2026-18577により、RMM全体が完全に侵害され、攻撃者によるスクリプト展開、リモートセッションの起動、永続化の確立が可能に
Huntressの調査によると、同社の顧客・パートナー基盤において到達可能なクラウドホスト型N-centralサーバーの55.6%が、調査時点で未パッチのままだったことが判明
組織はN-ableのホットフィックスを直ちに適用し、侵害の兆候について管理活動を確認するとともに、同プラットフォーム周辺のアクセス制御を強化すべき

この脆弱性は、クラウドホスト型・オンプレミス型を問わず、現在サポートされているすべてのバージョンのN-able N-centralに影響します。

一般的なソフトウェアの脆弱性とは異なり、この欠陥はRMMプラットフォーム自体を標的としているため、攻撃者に数千に及ぶ管理対象エンドポイントへの一元的な制御権を与えかねません。

つまりMSPにとっては、単一のN-centralサーバーが侵害されるだけで、複数の顧客環境にまたがりコマンドの実行、ソフトウェアの展開、リモートアクセスが可能になり、一度の侵入が大規模なサプライチェーン攻撃に発展する恐れがあるということです。

N-ableはこの脆弱性をCVE-2026-18577として関連付けており、これはCVE-2026-18556に対する修正が不完全だったことに起因する認証バイパスの問題であると説明しています。

本記事公開時点で技術的詳細は限定的ですが、N-ableは、攻撃者が認証をバイパスし脆弱なN-centralサーバーの管理者権限を完全に掌握できることを確認しています。

管理コンソールへの侵入後、脅威アクターは正規の管理機能を悪用して配下のシステムを侵害することができます。

Huntressによると、確認された活動には、N-centralの「Take Control」機能を悪用した管理対象エンドポイントへのリモートアクセスや、永続化を確立するためのCloudflareベースのトンネルの展開が含まれています。

攻撃者はさらに、スクリプトやソフトウェアの展開、リモート制御セッションの開始、管理者アカウントやセキュリティポリシーの変更を行い、ドメインコントローラーやファイルサーバーといった重要度の高いシステムへ横展開する可能性もあります。

この脆弱性の露出規模の大きさも懸念材料となっています。

Huntressの調査では、同社の顧客・パートナー基盤において到達可能なクラウドホスト型N-centralサーバーのうち、約55.6%がホットフィックスによる更新をまだ受けていないことが判明しました。

Huntressは、N-centralがAlmaLinux 9のカスタムディストリビューション上で動作しており、アプライアンスとして展開されることが多いためEDRによるカバレッジを欠くケースが多く、侵害後の活動に対する可視性が限定される可能性があると指摘しています。

実際の悪用がすでに確認されている以上、N-able N-centralを利用する組織はパッチ適用と並行して被害の封じ込めを最優先すべきです。

ホットフィックスを適用しインターネットへの露出を排除してください。パッチ適用が完了できない場合は、一時的にN-centralをオフラインにしてください。
MFA、ゼロトラストアクセス制御、IP許可リスト、最小権限の管理制御を用いてN-centralへのアクセスを制限してください。
不正アクセスの兆候がないか、管理者ログイン、権限変更、新規アカウント、セキュリティポリシーの変更を確認してください。
予期しないスクリプト、自動化ジョブ、ソフトウェア展開、リモート制御セッション、その他エンドポイント全体の管理活動を調査してください。
Cloudflareトンネル、不審な送信先接続、その他の永続化メカニズムなど、侵害の痕跡を捜索してください。
特権クレデンシャルをローテーションし、エンドポイントの整合性を検証、横展開や後続活動を検知するための監視を強化してください。
シミュレーションツールやシナリオを用いて、RMMプラットフォーム侵害を想定したインシデント対応計画をテストしてください。

これらの対策を講じることで、組織はRMM攻撃への露出を減らしつつ、運用面のレジリエンスを高めることができます。

今回のN-central脆弱性は、リモート管理プラットフォームがID管理システムなど他の特権的な管理サービスと同様に、Tier 0インフラとして扱われるべきであることを浮き彫りにしています。

脅威アクターが一元管理プラットフォームを標的とする傾向を強める中、組織はそれらを保護する制御を強化し、企業全体のリスクを低減してサイバーレジリエンスを高めていく必要があります。

ゼロトラストの原則は、特権的な管理プラットフォームが影響の大きい攻撃経路となるリスクを、組織がさらに低減する助けとなります。