IT分野のソフトウェア企業N-ableは、自社のエンドポイント管理プラットフォーム「N-central」に存在する未認証のリモートコード実行(RCE)脆弱性に対し、緊急パッチを公開しました。この脆弱性はゼロデイとして悪用されていました。
CVE-2026-86218として追跡されているこの脆弱性は、CVSSスコアが10点満点中10と最大値を記録しています。N-ableがN-centralの他の2件の脆弱性、すなわちCVE-2026-86206とCVE-2026-86207を修正した後に発見されました。
「この重大なゼロデイ脆弱性CVE-2026-86218が悪用された場合、N-centralサーバーへの認証前アクセスを許してしまう可能性があります」と、N-ableは警告しています。
N-central Hostedの環境については、パッチがサーバー側で適用済みのためユーザー側の対応は不要ですが、オンプレミス版のN-centralを利用しているユーザーは、2026.3 HF4ホットフィックスを直ちに適用するよう、同社は呼びかけています。
N-ableはさらに、「ログをレビューし、スキャン活動の有無を確認してください。当社ではIPレンジ23.234.64.0/18からこの脆弱性を悪用しようとするスキャンを確認しています。このレンジからの接続がないか、ログを確認してください」とも述べています。
管理者に対しては、身に覚えのない新規ユーザーアカウントが作成されていないか、デプロイ環境を確認するようにも助言しています。
「現時点で、この脆弱性が本番環境で悪用されたことを示す確証は得られていませんが、未パッチのシステムは依然としてリスクにさらされています」とN-ableは述べています。
今回悪用されたゼロデイに対するホットフィックスは、以前公開されていたCVE-2026-86206とCVE-2026-86207向けのパッチを置き換えるものです。この2つの脆弱性については、Huntressが実際の攻撃において連鎖的に悪用され、認証をバイパスしてN-centralの本番環境を侵害した可能性があると指摘していました。
Huntressは土曜日、「しかしながら、アプライアンス上で直接取得できる過去のログが限られているため、攻撃者が侵害を成し遂げるために実際にどのエクスプロイトを使用したのかを確定的に特定することはできず、また別の脆弱性が使用された可能性を排除することもできません」と述べています。
同社は、N-centralの基盤となるAPIおよびアプライアンスのログを狙った攻撃を2026年9月4日から観測しているとしています。
翻訳元: https://www.securityweek.com/n-able-patches-critical-zero-day-in-n-central/
