N-ableは、RMMプラットフォーム「N-central」に存在するCVSSスコア10.0のゼロデイ脆弱性について、管理者にパッチ適用を呼びかけています。これは、同製品に影響する別の2件の脆弱性を公表しパッチを提供したわずか1日後の出来事です。
サイバーセキュリティ企業N-ableのリモート監視・管理プラットフォーム「N-central」に、最大深刻度のゼロデイ脆弱性が影響している可能性があることを、同社が明らかにしました。管理者らがちょうど1日前に公表された2件の脆弱性に対するホットフィックスを適用している最中の出来事でした。
今回の新たな脆弱性はCVE-2026-86218として追跡されており、攻撃者が認証なしでN-centralサーバーにアクセスできてしまうリモートコード実行の脆弱性です。
同社はインシデントページで、この新たな脆弱性は9月5日に公表された2件の脆弱性とは無関係であり、すでに悪用が確認されていると説明しています。「以前の脆弱性とは異なり、今回新たに特定されたこの脆弱性は実際に悪用されていることが確認されています」と同社は述べ、現在調査を進めるとともに、顧客環境を保護するための対策を講じたと付け加えています。
これらの対策には、ホスト型のN-centralインスタンスすべてへの緩和策の適用が含まれます。しかしオンプレミス環境の顧客については、N-ableサポートポータルで提供される手順に従ってN-centralをダウンロード・アップグレードするまで、依然としてリスクにさらされたままとなります。
Huntressはブログ記事で、これまで文書化されていなかった攻撃チェーンを公表しました。これはN-ableが9月5日に公表していた2件の脆弱性、CVE-2026-86206とCVE-2026-86207を利用するもので、アクセス制御を回避して不正な管理者アカウントを作成できてしまうというものです。
この公表に先立ち、Huntressは9月4日、Hotfix 2で完全にパッチ適用済みだったある顧客のN-central本番環境が侵害された事案の調査を開始していました。これらの脆弱性は9月5日にHotfix 3（ビルド2026.3.1.13）で対処されましたが、このパッチを適用済みのシステムでも、CVE-2026-86218への対策をアップロードするために、現在提供されているHotfix 4への再アップグレードが必要になります。
同社は、ログの記録範囲が限られているため、9月4日のインシデントで攻撃者がどの脆弱性を利用したのかを断定することはできないと注意を促しています。
悪用の特定が一段と困難に
N-centralは、マネージドサービスプロバイダーが顧客のシステムを監視・遠隔管理するために使用するRMMプラットフォームです。そのため同プラットフォームへのアクセスは攻撃者にとって特に価値が高く、侵害したN-centralアカウントを使って不正な管理者ユーザーを作成し、プラットフォームの内部APIを操作することが可能になります。
Huntressによると、9月の攻撃チェーンはN-centralのユーザー管理機能を掌握し、攻撃者が不正な管理者アカウントを作成できる状態を生み出すとのことです。研究者らは、攻撃者がN-ableのメールアドレスに.invalidのような文字列を追加してアカウント名を改変する様子や、N-centralのリモートコントロール用エンドポイントに対する偵察行為を確認しています。
8月に発生した以前の攻撃、CVE-2026-18556およびCVE-2026-18577（Hotfix 2で対処済み）を悪用したものはN-centralの「Take Control」機能を多用していましたが、研究者らによると、今回の新たな攻撃活動は基盤となるAPIとアプライアンスログを標的にしている点が異なるといいます。
この違いは重要な意味を持ちます。防御側は単に不審なリモートコントロールセッションを探すだけで、新たに悪用された事案を特定できるわけではないからです。Huntressは、%2Fのようなエンコードされた値を含むAPIルートへの成功リクエストがないか「envoy_proxy_HTTPs.log」と「syslog ncentraldms」を確認するとともに、最近作成されたアカウントについて不審な命名パターンがないか監査するよう推奨しています。
新たな脆弱性でさらに深刻化
事態は9月6日、N-ableがCVE-2026-86218を公表したことでさらに深刻化しました。これはCVSSスコア10.0の、認証前に悪用可能な別のRCE脆弱性です。
N-ableおよびHuntressの研究者らは、この脆弱性がすでに実際の攻撃で悪用されており、顧客は直ちにパッチを適用すべきだと述べています。悪用の技術的な詳細はまだ公開されていませんが、これはおそらく管理者に脆弱なシステムへパッチを当てる時間的猶予を与えるためとみられます。
N-ableのHotfix 4はHotfix 3を置き換えるものであり、オンプレミス環境の顧客は直ちに適用すべきです。Huntressはまた、RMMインターフェースをインターネットに広く公開したままにするのではなく、IPアローリストやVPNといった制御手段を用いてN-centralコンソールへのインバウンドアクセスを制限するよう推奨しています。さらに研究者らは、組織はユーザー作成、権限変更、API活動を確認し、不正利用の兆候がないか点検すべきだと指摘しています。
