N-ableのパッチ回避欠陥、RMMサーバーが攻撃者に悪用される

N-ableは先日、脅威アクターが自社製品N-centralをパッチ回避の脆弱性を通じて標的にし、この欠陥を悪用して顧客環境へのアクセス権を取得していたことを明らかにしました。

同社はマネージドサービスプロバイダー(MSP)や社内IT部門向けにセキュリティ・IT管理ツールを販売しており、週末にかけて自社のステータス更新ページおよび8月2日付のブログ記事を通じて、この積極的な悪用を公表しました。N-centralはN-ableのリモート監視・管理(RMM)プラットフォームで、顧客システムのリモート監視や、必要に応じたソフトウェア・スクリプト・パッチの展開などに使用されています。RMMは「Take Control」機能を通じて顧客のエンドポイントへリモートアクセスする用途にも利用できます。

ブログ記事によると、N-ableは7月31日、「オンプレミス版N-central顧客のライセンス問題が増加している」ことを検知しました。セキュリティチームが調査に着手し、8月2日朝、担当者は以前に対処済みだった認証回避の脆弱性CVE-2026-18556に、脅威アクターが悪用できる別の攻撃経路が実際に存在し、それが悪用されて脆弱なN-centralサーバーへの管理者権限アクセスが取得されていたことを突き止めました。

「悪用に続いて、攻撃者はTake Control機能を利用し、N-centralが管理する環境内のシステムに接続しました」と、開示ブログ記事には記載されています。「これらのデバイスに侵入した後、攻撃者はCloudFlareトンネル用の新たなサービスを登録し、N-centralサーバーへのアクセスが失効した後も環境内での永続性を確保できるようにしていました」

N-ableのエンジニアリングチームは、この脆弱性(CVE-2026-18577、CVSSスコア8.2として追跡)に対する修正プログラムを開発し、公開しました。同社はこれまでのところ、「限られた数の顧客」がこの脆弱性の影響を受けたことを確認しており、サポートチームがこれらの顧客に直接対応していると述べています。

N-centralインスタンスのアップグレードとロックダウンを

N-ableは、最新版を実行していない顧客に対し、バージョン2026.3.1.7へのアップグレードを推奨しています。ホスト型サービスを利用する顧客には修正プログラムが自動的に適用されますが、オンプレミス版の顧客は自ら修正プログラムを適用する必要があります。

Huntressは8月3日付のブログ記事で、CVE-2026-18577が現在も積極的に悪用され続けていると述べ、自社の顧客基盤の中で1社がこの悪用による影響を受けたことを確認したと明らかにしました。さらにHuntressは、N-centralサーバーがまだ2026.3.1.7にアップデートされていない環境を「数多く」確認しているとしています。

現時点で、クラウドホスト型サーバーのほぼすべてにパッチが適用済みです。到達可能なサーバーのうち13.6%は未パッチのままであり、その大半は自己ホスト型です。到達可能なN-central自己ホスト型サーバーのうち28.6%が未パッチのままとなっています。

Huntressのシニアプリンシパルセキュリティリサーチャーであるジョン・ハモンド氏はDark Readingに対し、テレメトリによって複数のパートナー環境で侵害後の活動が確認されているものの、これがMSP顧客基盤全体にわたる広範かつ無差別なキャンペーンへと発展している兆候は今のところ見られないと述べました。

「これまで分析してきた侵入事例では、攻撃者はN-centralへのアクセスを足がかりに、通常はドメインコントローラーといった価値の高いサーバーへピボットし、直ちにプロセス一覧を取得して稼働状況を把握し、次の行動を決定しています」と同氏は説明します。「侵害されたN-centralサーバーは接続されている多数のエンドポイントにコードやツールをプッシュできるため、被害が及ぶ範囲は潜在的に大きくなります。したがって、確認された悪用が今のところ一部の顧客に限られているとしても、脆弱なデプロイメントはすべて高リスクとして扱っています」

侵害された場合のリスクは大きいと研究者らはブログで指摘しています。侵害されたサーバーは「配下で管理するすべてのエンドポイントにわたって、スクリプトの実行、ツールのプッシュ、リモートセッションの開始」に悪用され得るためです。ブログ記事はこれを、ビデオゲームにおける一種の「ゴッドモード」になぞらえています。

N-ableの開示情報とHuntressのブログ記事はいずれも侵害の痕跡(IOC)を含んでいます。パッチ適用に加えてHuntressは、組織に対しN-central環境のハードニングも推奨しています。具体的には、ログイン・アカウント・設定について「通常の運用パターンと一致しない変更やイベント」がないかスキャンすること、リモート制御の活動を確認すること、そしてN-centralを一時的に無効化することが適切かどうかを検討することです。

本稿の締め切り時点で、N-ableはDark Readingのコメント要請に応じていません。