N-ableは、自社のリモート監視・管理(RMM)プラットフォーム「N-central」に存在する認証バイパスの重大な脆弱性が、実際に悪用されていることを確認しました。攻撃者はこれを悪用してサーバーの管理者権限を奪取し、管理対象のエンドポイントへ侵入範囲を広げることが可能です。
CVE-2026-18577として追跡されているこの脆弱性は、代替パスまたはチャネルを利用した認証バイパス(CWE-288)であり、N-centralのバージョン2026.3.1までが影響を受けます。
CVSS基本値は8.2で、以前の脆弱性であるCVE-2026-18556に対する不完全な修正パッチに起因しています。N-ableはこの脆弱性についてバージョン2026.2で解決済みと考えていました。
2026年7月31日、オンプレミス顧客から報告されたライセンス異常の急増を受けてN-ableのエンジニアリングチームが調査を行ったところ、攻撃者が当初の修正を回避する別の経路を見つけ出しており、RMMコンソールへの認証なしでの「ゴッドモード」アクセスを可能にしていたことが判明しました。
N-ableのインシデント対応の時系列によると、未認証の攻撃者はバージョン2026.3.1.7より前のN-centralサーバーであれば、どれに対してもリモートで管理者アクセスを取得できたとのことです。
侵入後、攻撃者は本来正規のリモートサポート用に設計されたN-centralの標準機能「Take Control」を悪用し、顧客環境内の管理対象デバイスに直接接続していました。
侵害されたエンドポイント上では、攻撃者がCloudflareトンネルをWindowsサービスとして登録しており、N-centralサーバー自体にパッチが適用されたり初期化されたりした後でも存続する、独立した永続的アクセス経路を確保していました。
N-ableはこの点について、危険なギャップが生じると指摘しています。N-centralサーバーにパッチを適用しても最初の侵入口は塞がれますが、下流の顧客マシンにすでに仕込まれたトンネルサービスの除去にはつながらないため、防御側は管理対象の全エンドポイントを個別に調査する必要があるとのことです。
N-ableによると、直接的な影響を受けた顧客は限られており、該当する顧客にはサポートから連絡済みとのことですが、クラウドホスト型とオンプレミス型の両方のN-central導入環境が影響を受けます。
8月3日時点で、監視会社のHuntressは、到達可能なクラウドホスト型N-centralサーバーのうち55.6%超が未パッチのままであると報告しており、対応の緊急性を裏付けています。
CISAはCVE-2026-18577を自社のカタログに追加しました。BOD 26-04の指針の下、2026年8月6日を修正期限としており、この脅威がMSP(マネージドサービスプロバイダー)のサプライチェーンに及ぼす緊急性を反映しています。
N-ableは、この攻撃キャンペーンに関連する6つのIPアドレスを公開しました。173.249.252.200、87.249.138.34、37.19.210.32、37.153.90.88、92.118.112.181、68.235.46.214です。
Windowsエンドポイントでは、防御担当者はC:\ProgramData\GetSupportService_N-Central\Logs\内に不審なBASupSrvc_*.log.gzのエントリがないか確認し、Documentsフォルダ内にCloudflaredという名前のサービスに紐づく、リネームされたsvchost.exeがないか調査する必要があります。
N-ableは全顧客に対し、直ちにホットフィックス2026.3.1.7へアップグレードするよう強く求めています。その他の推奨対応策は以下の通りです。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/n-able-n-central-zero-day-exploited/
