セキュリティ
専門家はホットフィックス適用が必須であると警告。攻撃者が「N-centralコンソールへの完全な管理者アクセス」を獲得すると、MSPに向けて注意喚起
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、悪用が確認されたN-ableの脆弱性を既知の悪用済み脆弱性（KEV）カタログに追加しました。これにより連邦政府機関は、マネージドサービスプロバイダー(MSP)の顧客に到達しうるこの欠陥に対し、3日以内のパッチ適用を義務付けられました。
この欠陥を悪用した攻撃者は「N-centralコンソールへの完全な管理者アクセス」を獲得できるとされています。
CVE-2026-18577（CVSSv4スコア8.2）として追跡されているこの脆弱性について、N-ableは日曜日にN-centralに影響する脆弱性を公表し、7月31日の時点ですでに悪用されていたと明らかにしました。
MSPはN-centralを使って単一のダッシュボードから顧客のシステムを管理しています。この脆弱性が悪用されると、攻撃者はコンソールへの管理者アクセス権を手にすることになります。
セキュリティ企業Huntressは、確認できた限られたパートナーのログをもとに、実際の攻撃では管理下のエンドポイントへの侵入や、被害者ネットワークへの持続的アクセスを確保するためのCloudflareベースのトンネル作成が行われていたと報告しています。
「MSPの視点で見ると、この欠陥の悪用によって攻撃者はN-centralコンソールへの完全な管理者アクセスを獲得できてしまいます。これは通常、信頼されたNOCおよびエンジニアリングスタッフにのみ与えられるレベルの制御権限です」と、HuntressのBen Bernstein氏とJohn Hammond氏は記しています。
攻撃者はその後、重要なシステム上でリモート制御セッションを開始し、ロールやアカウント、ポリシーを変更することで後続の攻撃を後押しできます。
この脆弱性は、サーバーがインターネットに公開されている場合や信頼できないネットワークから到達可能な場合、バージョン2026.3より前のN-centralリリースに影響します。
Huntressは、N-ableのホットフィックスを直ちに適用できない顧客に対し、適用が完了するまでN-centralを無効化するよう勧告しています。
他の当局も同様にパッチ適用を呼びかけています。NHSイングランドの勧告では、同機関のNational Cybersecurity Operations Centreが「さらなる悪用が発生する可能性が高い」と評価したことに言及しています。またベルギーのCentre for Cybersecurityも、「重大な影響を及ぼす可能性がある」として迅速な対応を求めています。
この欠陥の悪用によって攻撃者はN-centralコンソールへの完全な管理者アクセスを獲得できてしまう――これは通常、信頼されたNOCおよびエンジニアリングスタッフにのみ与えられるレベルの制御権限
CVE-2026-18577は、N-central 2026.2で修正された以前の欠陥CVE-2026-18556と関連しています。N-ableによると、その修正では別の悪用経路が残されており、攻撃者は先月下旬からこれを悪用し始めていました。
CISAは連邦文民行政機関(FCEB)に対し、8月6日までにこの欠陥を修正するよう求めました。拘束力のある運用指令(BOD)26-04のもとでは、CISAが緊急性の高いリスクと判断した脆弱性については、通常の14日間ではなく3日間という期限を課すことができます。
Huntressのデータによると、影響を受けた顧客は迅速に対応を進めています。8月3日時点で、クラウドホスト型のN-centralインスタンスはほぼすべてパッチが適用されていましたが、確認されたセルフホスト型サーバーのうち28.6パーセントは依然として脆弱な状態でインターネットに公開されたままでした。®
