N-ableは、MSP(マネージドサービスプロバイダー)に人気のリモート監視・管理(RMM)ソリューション「N-central」に影響するリモートコード実行(RCE)脆弱性CVE-2026-86218に対し、緊急ホットフィックスをリリースしました。
N-ableはリリースノートの中で、CVE-2026-86218について「N-centralサーバー上で認証前のリモートコード実行を許してしまう可能性がある、CVSSクリティカル評価の脆弱性」と説明しています。
N-ableは9月5日、N-central 2026.3向けのHotfix 4をリリースしてこの脆弱性に対応し、ビルドをバージョン2026.3.1.14に更新しました。
同社は「オンプレミス版のN-centralを運用している顧客は、環境を保護するために直ちにN-central 2026.3 HF4へアップグレードする必要があります」と付け加えています。
「この脆弱性は、当社のセキュリティ開示プログラムを通じて第三者から責任ある開示を受けたものです。現時点で、本番環境において悪用が確認されたという事実はありませんが、未パッチのシステムは依然としてリスクにさらされています」と同社は述べています。
一方、顧客に直接送付された別の通知では、緊急扱いとしてホットフィックスの即時適用を呼びかけており、N-ableはCVE-2026-86218について「実環境での悪用が確認されている」と説明し、ゼロデイ脆弱性であると明言しています。これは公開アドバイザリでの説明と矛盾する内容です。
この通知では、影響を受けるN-central環境としてホスト型・オンプレミス型の両方が挙げられており、対象地域は南北アメリカ、APAC、欧州に及んでいます。
サイバーセキュリティ企業Huntressも、CVE-2026-86218を潜在的なゼロデイ脆弱性として指摘したほか、認証を回避してN-centralプラットフォームへの無制限アクセスを可能にする深刻度「高」の脆弱性2件、CVE-2026-86206とCVE-2026-86207にも言及しています。これらはN-ableが週末にかけてパッチを適用したものです。
同社によると、この脆弱性の存在は、N-ableの公式なホットフィックス発表に先立ち、MSPGeekコミュニティ内でN-able社員が投稿したDiscordの書き込みを通じて把握したとのことです。
Huntressは「9/5/26付けの更新情報では、以前公開された2つの脆弱性(CVE-2026-86206およびCVE-2026-86207)が、当社の顧客の1社におけるパッチ適用済み本番環境で確認された事例において悪用されたものかどうかを、当時は否定できないと説明していました。侵害されたN-centralサーバーのログはすでにローテーションされていたため、この新たなCVEがそのケースで悪用された脆弱性だったのかどうかについても、判断することができません」と説明しています。
N-ableは最後に、「予防策として、N-centralのユーザーアカウントを監査し、想定外のユーザーが存在しないか確認することを推奨します」と結んでいます。
翻訳元: https://www.helpnetsecurity.com/2026/09/07/n-able-n-central-hotfix-cve-2026-86218/
