管理者権限のバイパスとプラットフォーム機能の悪用
攻撃者は、認証情報なしでN-centralにアクセスし、管理者権限を取得したうえでプラットフォームの正規機能を悪用し、配下にあるクライアント端末への侵入を果たす手口を見つけ出しました。この攻撃が発覚した後、ベンダーは立て続けに2回のパッチを公開しています。しかし最初のアップデートでは認証バイパス経路の一つを塞いだにすぎず、別の攻撃経路が残されたままになっていました。この脆弱性が完全に修正されたのは、2026年8月2日にリリースされたN-centralバージョン2026.3.1.7のみです。
マネージドサービスプロバイダー(MSP)や社内IT部門は、N-centralに大きく依存しています。管理者は統合管理コンソールを通じて、ワークステーションやサーバーを監視し、ソフトウェアアップデートを配布し、リモートコマンドを実行し、リモート接続を確立します。そのため、N-centralサーバー1台が侵害されるだけで、脅威アクターは複数の管理対象組織へ即座にアクセスできてしまいます。
調査は7月31日、N-ableがセルフホスト型プラットフォームのインスタンス全体でライセンスエラーが異常に急増していることを検知したことから始まりました。その後の分析により、N-centralバージョン2026.1以前のビルドを稼働させているサーバーに対し、権限のない第三者がリモートで管理者権限を取得していたことが判明しました。
ネイティブのTake Control機能の悪用
コンソールへのアクセス権を得た侵入者は、標準搭載のTake Control機能を悪用しました。この機能はリモート技術サポート用に設計されたもので、オペレーターは管理対象エンドポイント側のOS自体を個別に侵害する必要なく、セッションを開始できるようになっています。
永続的なCloudflareトンネルの展開
一部のエンドポイントでは、攻撃者がCloudflare Tunnelを展開し、cloudflared実行ファイルを永続的なシステムサービスとして登録していました。このトンネルはCloudflareのインフラへ向けたアウトバウンド接続を確立するため、攻撃者はインバウンドポートを開放したりファイアウォール設定を変更したりする必要がありません。
cloudflaredをシステムサービスとして構成することで、システム再起動時にも自動的に実行されるようになっていました。管理者が侵害されたN-centralサーバー経由のアクセスを遮断した後も、この永続的なトンネルによって対象エンドポイントへの直接アクセスは維持されてしまいます。管理プラットフォームをアップデートしても、クライアント端末にインストールされた外部ソフトウェアまでは削除されないため、ホットフィックスの適用だけでは不十分です。
調査担当者は、Cloudflare自体が侵害された痕跡は確認していないとしています。その代わりに、脅威アクターは正規のトンネリングユーティリティを既製のリモートアクセス経路として武器化しました。この手口により、悪意のある通信は正常な暗号化通信の中に紛れ込み、インバウンド接続を監視するために設計されたセキュリティ対策を回避できてしまいます。
2つの脆弱性:CVE-2026-18556とCVE-2026-18577
当局は最初の脆弱性をCVE-2026-18556と識別し、N-ableはこれを「認証不要での管理者アカウント乗っ取り」に分類しました。CWE-288(代替パスまたはチャネルによる認証バイパス)に分類されるこの脆弱性は、バージョン2026.1までのN-centralビルドに影響を及ぼします。ベンダーは当初、バージョン2026.2でこの攻撃経路に対処し、顧客に対して新しいリリースブランチへのアップグレードを推奨していました。
その後の分析により、同じく管理者権限へのアクセスを可能にする別のバイパス経路が発見されました。この新たな亜種は最初のパッチを回避するもので、以前は安全とみなされていたインスタンスを含む、バージョン2026.1より新しいビルドにも影響を及ぼします。研究者はこの2つ目の脆弱性をCVE-2026-18577と識別しました。両脆弱性ともCVSS 4.0で8.2の深刻度評価を受けています。N-ableは影響を受けたソースコードに関する具体的な技術詳細を明らかにしていませんが、悪用されれば一貫してリモートから認証不要で管理者権限を取得できる状態になっていました。N-ableの公式ホットフィックスセキュリティ勧告でも指摘されている通り、CVE-2026-18577の影響を軽減するには最新のアップデートを適用することが極めて重要です。
フィンランド国家サイバーセキュリティセンターは、緊急ホットフィックス以前のすべてのN-centralバージョンが脆弱な状態にあると警告しました。バージョン2026.3へのアップグレードだけでは不十分で、完全な保護が得られるのはビルド2026.3.1.7のみです。オンプレミス環境の管理者は手動でアップデートを適用する必要がある一方、クラウドホスト型のN-central on Demand(NCOD)インスタンスについては、N-ableが直接管理・パッチ適用を行います。
フォレンジック上の推奨事項と侵害の痕跡(IOC)
修復後の手順として、管理者はすべての管理対象エンドポイントを監査する必要があります。セキュリティ担当者は、Cloudflaredという名称の不審なサービスがないか点検し、ユーザーのDocumentsフォルダ内にsvchost.exeファイルが存在しないか確認すべきです。正規のWindows版svchost.exeバイナリはシステムディレクトリにのみ存在するため、ユーザープロファイル内に見つかった場合は悪意ある活動を示す兆候となります。さらにN-ableは、今回のキャンペーンに関連する6つのIPアドレスを公開しました:173[.]249[.]252[.]200、87[.]249[.]138[.]34、37[.]19[.]210[.]32、37[.]153[.]90[.]88、92[.]118[.]112[.]181、68[.]235[.]46[.]214です。
特定されたIPアドレスのうち複数は、MullvadやNordVPNのVPN出口ノードに該当します。そのため、N-centralのログとエンドポイントのイベントとの相関分析が必要になります。サイバー脅威インテリジェンス企業のHuntressは、あるパートナー企業が保有するオンプレミスのN-centralインスタンス上で関連する活動を確認しました。脅威アクターはこのコンソールを通じて9つの組織に侵入し、組織ごとに1台のコンピューターにアクセスしていました。入手できたテレメトリデータによると、侵入者は実行中のプロセスを列挙した後に接続を切断しており、この特定の環境ではCloudflare Tunnelは展開されていませんでした。さらにHuntressは、3つの不審なドメインを指摘しています:mousears.synology[.]me、wagoosh.direct.quickconnect[.]to、who-ripped-one.direct.quickconnect[.]toです。
不正なTake Controlセッションを特定するため、アナリストはN-centralサーバー上のui_access_control.logを監査し、Windowsエンドポイント上のBASupSrvcログとの照合を行うことを推奨しています。不審な兆候としては、予期しないセッション、見慣れないIPアドレス、時間外の活動、そして[email protected]のようなサポート用アカウントに似せたアカウントに紐づく操作などが挙げられます。N-ableによれば、影響を受けた顧客はごく限られた数にとどまるとのことです。最終的に管理者は、ビルド2026.3.1.7へのアップグレードを行うとともに、持続的なバックドアが稼働し続けていないことを確認するため、エンドポイントの徹底したフォレンジック調査を実施する必要があります。
翻訳元: https://meterpreter.org/n-central-vulnerability/
