顧客の攻撃対処を支援するため、N-ableはMSP(マネージドサービスプロバイダー)に人気の監視・管理(RMM)ソリューション「N-central」向けに、2回目のセキュリティ修正パッチを公開しました。
「以前の修正パッチを既に適用済みの場合でも、Hotfix 2の適用が必須です。Hotfix 2はHotfix 1を置き換えるもので、お客様とその顧客をさらに保護するための追加的な強化策が盛り込まれています」と同社は説明し、攻撃で確認された侵害指標(IoC)を追加で公開しました。
「保護策を拡張」する2回目の修正パッチ
今月初め、N-ableはN-centralバージョン2026.3.1.7(すなわち2026.3 Hotfix 1)をリリースし、同社が攻撃者による悪用を検知していた認証バイパスの脆弱性(CVE-2026-18577)に対処しました。
「2026年7月31日、N-ableのAdlumin MDRソリューションが顧客環境内で異常な挙動を検知し、これがN-centralサーバーのゼロデイ脆弱性を積極的に悪用する脅威アクターの発見につながりました」と同社は木曜日に説明しています。
CVE-2026-18577は、以前に修正されたCVE-2026-18556に対するパッチバイパスとして割り当てられたものです。脅威アクターは、以前のパッチによる特定のチェックを回避する変則パターンを見つけ出し、これを使ってN-centralインスタンスを侵害し、管理対象エンドポイントへのアクセスを得ていたとみられます。
N-ableは、脅威アクターが最初の修正パッチを回避する方法を見つけたかどうかについては言及しておらず、「脅威アクターが攻撃手法を進化させていることを継続的に監視した結果を踏まえ、保護策を積極的に拡張している」とだけ述べています。
「すべてのパートナーは可及的速やかに[N-centralバージョン2026.3.1.10、すなわち2026.3 Hotfix 2]へアップグレードすることを強く推奨します」と同社は述べており、CVE-2026-18577から顧客を保護するために、管理対象デバイス上のエージェントのアップグレードも(必須ではないものの)推奨するとしています。
ホスト型N-centralを利用している組織は、修正パッチが既に適用済みのため更新の必要はありません。
攻撃者による侵害後の行動
N-ableによると、脅威アクターは脆弱性を悪用した後、正規の機能である「Take Control」を使って管理対象エンドポイントに接続し、永続化のためにCloudflareトンネル用の新しいサービスを登録するとのことです。
同社は2026年8月1日にCVE-2026-18577の悪用を初めて検知し、攻撃に関連する6件のIPアドレスのリストを公開しました。
Sophosは、脅威アクターが「veeam」という名前の新しいドメインアカウントを作成し、既存の複数のドメイン管理者アカウントのパスワードをリセットしたほか、既存の他アカウントを列挙し、追加のリモートアクセスツールをインストールし、EDR回避ツールを利用してMicrosoftおよびSophos製のセキュリティソフトウェアを無効化したと述べています。
同社は、N-ableが最初に公開した侵害指標のリストに、C2サーバーおよびTacticalRMMサーバーの追加のIPアドレスとドメイン名を4件加えました。
Huntressの研究者は、自社顧客の一社のN-central環境で悪用を検知した後、脅威アクターが実行した行動についてさらなる知見を共有しました。
同社によると、脅威アクターは主要サーバー(典型的にはドメインコントローラー)を標的にし、侵害したシステム上でプロセスを列挙してから接続を切断し、その後、被害を受けた組織の環境内で複数のホストへ迅速に横展開していたとのことです。
「現在、複数の組織にわたってこの脆弱性を標的にする脅威アクターが確認されていますが、これが当社のパートナー基盤全体に及ぶ広範かつ無差別なキャンペーンに発展したという証拠はまだ確認されていません」と指摘しています。
翻訳元: https://www.helpnetsecurity.com/2026/08/10/cve-2026-18577-n-central-hotfix-2-msps/
