米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、N-able N-centralに存在する、実際に悪用されている認証バイパスの脆弱性CVE-2026-18577を、既知の悪用された脆弱性(KEV)カタログに追加しました。
Cybersecuritycertifications
この脆弱性により、認証されていない攻撃者が認証をバイパスし、脆弱なN-centralサーバー上の管理者アカウントを乗っ取ることが可能になります。
CISAは2026年8月3日にこの脆弱性をKEVカタログに追加し、連邦文民行政機関(FCEB)に対して2026年8月6日までにベンダーの緩和策を実施するよう指示しました。
この期限は連邦機関に対して拘束力を持つものですが、悪用が確認されていることから、マネージドサービスプロバイダー(MSP)をはじめとするN-centralの利用者も、緊急に本問題へのパッチ適用を優先すべきです。
CISA、悪用が確認されたN-able N-centralの脆弱性を追加
CVE-2026-18577として追跡されているこの脆弱性は、CWE-288(代替パスまたはチャネルを使用した認証バイパス)に分類されます。N-ableによれば、この問題は以前に修正されたセキュリティ上の懸念であるCVE-2026-18556(N-centralバージョン2026.2で対応済み)に対するパッチが不完全だったことに起因しています。
N-ableは調査の過程で、最初の修正後も残存していた別の悪用手法を特定しました。
同社の調査によると、脅威アクターはバージョン2026.3.1.7より前のすべてのN-centralサーバーを標的にし、リモートで管理者権限を取得した上で、同プラットフォームのリモート管理機能を悪用して管理対象の顧客環境にアクセスできることが判明しました。
N-ableは2026年8月2日、N-centralバージョン2026.3向けのホットフィックスをリリースし、顧客に対して直ちにバージョン2026.3.1.7へアップグレードするよう呼びかけました。
N-ableによると、攻撃者はこの脆弱性を悪用してN-centralサーバーへのリモート管理者アクセスを取得し、その後、同プラットフォームの「Take Control」機能を悪用して、影響を受けたインスタンス経由で管理されているシステムに接続していたとのことです。
エンドポイントシステムへのアクセス後、攻撃者は新たなCloudflare Tunnelサービスを登録していたと報告されています。これにより、防御側が元のN-centralサーバーへのアクセス権を無効化した後も、持続的なリモートアクセスを維持できる可能性があります。
N-ableは、影響を受けた顧客は限られた数であるとし、該当組織に対して直接対応を行っていると述べています。同社の調査は現在も継続中であり、新たな証拠が判明次第、追加の侵害指標(IOC)が公開される可能性があります。
現時点で、CISAはランサムウェアとの関連については不明としています。しかし、リモート監視・管理(RMM)プラットフォームが侵害された場合、攻撃者に多数の顧客デバイスへの一元的なアクセス、特権機能、リモート制御能力を与えることになるため、重大なリスクをもたらします。
判明している侵害指標(IOC)
N-ableは、確認された悪用活動に関連する以下のIPアドレスを特定しています。
- 173.249.252.200
- 87.249.138.34
- 37.19.210.32
- 37.153.90.88
- 92.118.112.181
- 68.235.46.214注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ベンダーはまた、Windowsエンドポイント上の侵害指標を検出するためのカスタムN-centralサービステンプレートも公開しています。N-ableは、このツールが検出できるのは現時点で判明している指標のみであるため、検出結果がクリーンであっても侵害を排除できるものではないと注意を呼びかけています。
N-able N-centralを利用している組織は、脆弱なサーバーを速やかにバージョン2026.3.1.7以降にアップグレードする必要があります。セキュリティチームはまた、N-centralの管理者アカウントの活動、Take Controlのセッションログ、新たに作成されたWindowsサービス、Cloudflare Tunnelの展開に関連する送信接続についても確認すべきです。
SecurityProducts & Services
管理者は、予期しないリモート管理活動を調査し、影響を受けた可能性のあるN-centralインスタンスによって管理されているエンドポイントについて、持続化の仕組み、不正なアカウント、横方向の侵害拡大(ラテラルムーブメント)の有無を評価することが推奨されます。
CISAは、ベンダーの指示に従うこと、インターネットへの露出状況を評価すること、そして同庁のリスクベースのセキュリティ更新ガイダンスを適用することを推奨しています。
警告: 20以上の政府機関サイトが企業や市民にマルウェアを配布していました。 攻撃調査の全容を確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/cisa-adds-exploited-n-able-n-central-flaw/
