N-able、深刻な遠隔コード実行の脆弱性に対しホットフィックスを公開

マネージドIT向けソフトウェアプロバイダーのN-ableは、深刻な遠隔コード実行(RCE)の脆弱性に対応するパッチを含む新たなホットフィックスを公開しました。

CVE-2026-86218は、N-ableのリモート監視・管理プラットフォームであるN-centralに存在する、認証前に悪用可能な深刻なRCEの欠陥です。このソフトウェアプロバイダーは9月6日にこの脆弱性を公表し、CVSSスコアは最大深刻度となる10と評価されました。

この脆弱性はN-centralのバージョン2026.3.1.14より前のものに影響し、認証されていない攻撃者がN-centralサーバー上でコードを実行できる可能性があります。

N-ableは、影響を受けるコンポーネントや悪用方法については公表していません。同社は、CVE-2026-86218が実運用環境で悪用された証拠は見つかっていないとしています。

一方、同社はN-central 2026.3 Hotfix 4でこの脆弱性に対するパッチをリリースしており、これによりビルドは2026.3.1.14になります。

これは、ここ数週間でN-able製品に影響を及ぼした脆弱性としては5件目となります。

CVE-2026-18556とCVE-2026-18577は、2026年に入ってから悪用が確認された深刻度の高い認証バイパスの脆弱性で、8月に米サイバーセキュリティ・インフラセキュリティ庁(CISA)の既知の悪用された脆弱性(KEV)カタログに追加されています。

これら2件の脆弱性に対するパッチは、8月2日と6日に公開されたN-ableのHF1およびHF2の各ホットフィックスに含まれていました。

CVE-2026-86207は内部専用APIに影響する深刻度の高い認証バイパスであり、CVE-2026-86206は内部APIを外部にさらす深刻度の高いアクセス制御フィルターのバイパスです。両者とも、9月5日公開のN-ableのHF3ホットフィックスでパッチが適用されています。

画像提供: Cristi Dangeorge / Shutterstock.com