N-able、ゼロデイ脆弱性にパッチを発行

セキュリティ企業のN-ableは、N-centralプラットフォームに存在する深刻なゼロデイ脆弱性に対処するため、緊急のホットフィックスを公開しました。 

N-centralに存在するこの認証前の脆弱性はCVE-2026-86218として追跡されており、攻撃者によるリモートコード実行を許す可能性があります。研究者によると、この脆弱性の深刻度スコアは尺度上最高となる10とされています。N-centralプラットフォームは、統合エンドポイント管理機能とリモート監視・管理機能を組み合わせたものです。 

今回のホットフィックスは、研究者らが同プラットフォームに存在する一連の脆弱性を過去に公表して以降、同社が連続して公開した4件目のものとなります。N-ableは、オンプレミス版N-centralを運用しているすべての顧客に対し、直ちに今回の最新バージョンへアップグレードするよう強く呼びかけています。同社のセキュリティアドバイザリによるとのことです。 

Huntressの研究者らはN-central環境に影響を及ぼす認証バイパスを以前に報告していました。この活動は、アクセス制御フィルターのバイパスであるCVE-2026-86206と、認証バイパスであるCVE-2026-86207という、2つの脆弱性を連鎖させたものでした。

Huntressの主任戦術対応アナリストであるMichael Tigges氏によると、Huntressが先週金曜日に確認した攻撃活動は、完全にパッチ適用済みのN-centralインスタンスを運用する組織への不正侵入だったといいます。 

「不審な、あるいは実在しないはずのユーザーが、アプライアンスの他のユーザーに紛れ込むような名前を付けた追加のユーザーアカウントを作成しているのを確認しました」とTigges氏は述べています。 攻撃者は、Cloudflareのトンネリングアプリケーションである「Cloudflared」をインストールしていました。

CISAカタログへの掲載

Rapid7の研究者らによると、N-ableは8月にCVE-2026-18577に対処するパッチを公開しています。これは実際に悪用されていた、N-centralの認証前脆弱性です。また、

CVE-2026-18556については不完全なパッチが公開されていました。 

Rapid7は、N-centralが侵害された場合、攻撃者に広範な管理者権限を与えることになり、下流の管理対象システムへの広いアクセスを可能にしてしまうと警告しています。 

これら2件の脆弱性は、いずれもサイバーセキュリティ・インフラセキュリティ庁(CISA)の既知の悪用された脆弱性(KEV)カタログに8月に追加されました。