N-ableは、同社のリモート監視管理(RMM)プラットフォーム「N-central」に影響を及ぼす最大深刻度のリモートコード実行(RCE)脆弱性に対し、緊急ホットフィックスをリリースしました。
IT部門やマネージドサービスプロバイダー(MSP)は、N-centralプラットフォームを利用して、クライアントのネットワークやデバイスを一元化されたWebベースのコンソールから監視・管理・保守しています。
CVE-2026-86218として追跡されているこのRCE脆弱性により、権限を持たない脅威アクターが、オンラインに公開されパッチ未適用のN-centralインスタンスに対し、複雑度の低い攻撃で悪意あるコードを実行できてしまいます。
N-ableは土曜日にN-central 2026.3 Hotfix 4をリリースしてこの脆弱性に対処し、顧客に対してできるだけ早くパッチを適用するよう呼びかけました。
「現時点で、この脆弱性が実際の運用環境で悪用されたという確認は取れていませんが、パッチ未適用のシステムはリスクにさらされたままです」と同社は述べています。
「オンプレミス版のN-centralを展開している顧客は、環境を保護するため、直ちにN-central 2026.3 HF4へアップグレードする必要があります」
インターネットセキュリティ非営利団体Shadowserver Foundationは現在、オンラインに公開されているN-centralサーバーが約1,500台存在すると追跡しており、そのほとんどは米国と欧州に所在しています。
N-ableはCVE-2026-86218の脆弱性が標的にされていることをまだ確認していませんが、サイバーセキュリティ企業Huntressはこれをゼロデイの可能性があるものとして注意喚起しています。あわせて、認証をバイパスして脆弱なN-centralプラットフォームへの完全なアクセスを攻撃者に許してしまう可能性のある、2件の深刻度の高い脆弱性(CVE-2026-86206およびCVE-2026-86207として追跡されており、こちらも週末にパッチが適用されています)も指摘しています。
「9/5/26のアップデート[中略]で、当社は、以前公開された2件の脆弱性(CVE-2026-86206およびCVE-2026-86207)が、パッチ適用済みの顧客の運用環境で確認された事例において悪用されたものかどうかは判断できないと述べていました」とHuntressは述べています。
「侵害を受けたN-centralサーバー上のログはすでにローテーションされていたため、この新たなCVEがその事例で悪用された脆弱性であったかどうかについても、当社では判断できません」
「オンプレミス版のN-centralを利用しているユーザーは、直ちにHF4を適用する必要があります。HF3を稼働させているシステムは、この新たに公表された脆弱性に対して依然として脆弱な状態です」とHuntressは警告しています。
1年前、N-ableは攻撃者が実際に悪用していた2件のN-central脆弱性(CVE-2025-8875およびCVE-2025-8876)に対してセキュリティアップデートをリリースしていました。
その数日後、Shadowserverは、CISAが連邦政府機関に対し1週間以内にシステムへパッチを適用するよう命じ、すべてのセキュリティチームに対しても継続中の攻撃からシステムを守ることを最優先するよう呼びかけたにもかかわらず、この2件のセキュリティ脆弱性を悪用する攻撃に対して依然として880台のN-centralサーバーが脆弱なままであることを発見しました。
