networks
攻撃者は管理者権限を足がかりに下流のネットワークへ侵入 ― N-ableはN-central顧客に対し、再度パッチ適用を呼びかけています
N-ableは、N-centralのゼロデイ脆弱性を悪用した攻撃者が実際に顧客ネットワークへ侵入していたことを確認しました。同社は最初の緊急修正パッチからわずか数日で、2件目となる必須のホットフィックスを公開しています。
このセキュリティ企業は木曜日に公開した最新情報の中で、攻撃者がCVE-2026-18577を悪用した後に何が起きたのかを詳しく説明しました。CVE-2026-18577はN-centralの深刻な脆弱性で、未認証の攻撃者にこのリモート監視・管理プラットフォームへの管理者権限を与えてしまうものです。
N-ableによると、攻撃者は脆弱なN-centralサーバーをリモートから悪用した後、同プラットフォームのTake Control機能を使って、このサーバー経由で管理されている環境内のシステムに接続していました。
侵入後、攻撃者は新たなCloudflare Tunnelサービスを登録し、N-centralサーバーから排除された後も足がかりを維持できるようにしていました。これはHuntressがすでに実際の攻撃で観測していた挙動です。
N-ableは現在、自社調査でも同様の攻撃活動が確認されたとし、「限られた数」の顧客が影響を受けたとしています。ただし、それが具体的に何社を意味するのか、攻撃者が到達した下流システムの数、そして持続的なアクセスを確立した後に何を行ったのかについては明らかにしていません。
The Registerがこれらの質問を投げかけたところ、N-Ableは回答せず、代わりに「攻撃者が攻撃手法を進化させていることを継続的に監視した結果を踏まえ、防御策を積極的に拡充している」との声明を出しました。
同社の限定的な情報開示と同時に、Hotfix 2(バージョン2026.3.1.10)が公開されました。N-ableは、オンプレミス版のN-centralを利用している顧客に対し、8月2日に公開された最初の緊急修正パッチをすでに適用済みの場合でも、直ちにこのアップデートを適用するよう求めています。
「これは以前のお知らせの重複ではありません」とN-ableは警告しています。「以前のホットフィックスをすでに適用済みであっても、Hotfix 2の適用が必要です」
同社によると、この新しいアップデートはHotfix 1を置き換えるもので、脅威アクターの動向を監視し「攻撃手法の進化」に対応する中で、さらなる強化策を追加しているとのことです。
2度目の防御策公開の引き金が具体的に何だったのかは明らかになっていません。N-ableは、攻撃者がHotfix 1を回避する方法を見つけたのかどうかについて言及しておらず、最新の説明では、悪用された脆弱性は最初のホットフィックスであるバージョン2026.3.1.7より前のN-centralサーバーに影響するとしています。同社によると、ホスト型のN-central環境にはすでに最新の緩和策が適用済みとのことです。
N-ableが最初にこの攻撃を認識したのは7月31日で、同社のAdlumin管理型検知・対応(MDR)サービスが顧客環境で不審な活動を検知したことがきっかけでした。さらに調査を進めた結果、N-centralサーバーを標的とした実際に悪用されているゼロデイ脆弱性が発見されました。
その後CVE-2026-18577が公表され、8月2日に最初のホットフィックスが公開されました。CISAはこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、米連邦政府機関に対して8月6日までの修正を求めました。これは同機関が緊急性の高いリスクとみなす脆弱性に適用する、異例の短さである3日間という期限です。
N-centralは、マネージドサービスプロバイダー(MSP)がこのソフトウェアを使って多数の顧客システムを一元管理していることから、攻撃者にとって特に魅力的な標的となっています。そのため、この管理プラットフォームを侵害すれば、攻撃者は元のサーバーに留まることなく、MSPの顧客が所有するマシンへの侵入経路を得られる可能性があります。
Huntressは以前、この脆弱性の悪用に成功すると、通常は信頼されたネットワーク運用・エンジニアリング担当者のみに許されているのと同レベルのN-centralアクセス権限を攻撃者が得てしまうと説明していました。同社の調査では、攻撃者がこのアクセス権限を利用して、管理対象のエンドポイントに対しリモート制御セッションを開始していたことが判明しています。
N-ableは現在、攻撃に使用されたとする10個のIPアドレスを公開しているほか、顧客がWindowsエンドポイント上で既知の侵害指標(IOC)を調査できるサービステンプレートも公開しています。
ただし同社は、このツールでのスキャン結果がクリーンだったとしても、それを「問題なし」の証明とみなさないよう顧客に警告しています。このツールはあくまでこれまでに判明している指標のみをチェックするものであり、調査が進むにつれて新たな指標が判明する可能性があるためです。
オンプレミス版のN-centralを運用している方への当面の指示は極めて明快です。すでにHotfix 1を適用済みであっても、Hotfix 2をインストールしてください。®
