N-central、Hotfix 4で緊急ゼロデイ脆弱性に対応

N-centralの緊急パッチシリーズが、前回のアップデートからわずか1日後に再び更新されました。今回N-ableが修正したのはCVE-2026-86218です。この欠陥は、認証を経ずにサーバー上でリモートコード実行を可能にするというもので、その結果CVSS 4.0の最高スコアである10.0を記録しました。影響を受けるのはバージョン2026.3.1.14より前のすべてのN-centralです。攻撃者に必要なのはネットワークアクセスのみであり、ユーザーアカウントや操作は一切不要です。CVEレコードではこの不具合をCWE-96に分類しており、保存された実行コードへのディレクティブインジェクションを許してしまうフィルタリング不足が原因とされています。

実際の悪用をめぐる矛盾した見解

N-ableからの相反するメッセージが事態を複雑にしています。インシデントページでは、同社はCVE-2026-86218を明確に緊急のゼロデイ脅威と位置づけ、ハッカーがすでに実際の攻撃でこの脆弱性を悪用していると述べています。しかし、公開されているセキュリティ情報ではこれと異なる内容が示されており、実運用環境での悪用は現時点で確認されていないとしています。一方Huntressは、最近発生した侵害を特定の脆弱性と結びつけて断定することができませんでした。9月4日、同セキュリティ企業は完全に更新済みのN-centralサーバーが侵害された事案を調査しましたが、残念ながら分析を始める前に古いログがすでに上書きされていました。そのため、攻撃者がCVE-2026-86218を利用したのか、それとも近縁の別の欠陥を利用したのかは特定できませんでした。

相次ぐセキュリティ上の課題

今回の新たな侵害は、一連のN-central関連の問題のさなかに発生しました。8月には、悪意ある攻撃者が認証を完全に回避してN-centralを攻撃し、顧客インフラへの管理者アクセス権を獲得しています。その後Microsoftは、これらの侵入の一部をStorm-1175という脅威グループに関連づけました。この悪名高いグループは、獲得したアクセス権を悪用してランサムウェアを展開しました。全体として、N-ableはわずか5週間で4件の緊急アップデートをリリースしています。Hotfix 3は9月5日に公開され、CVE-2026-86206とCVE-2026-86207を修正しました。これらの欠陥は、攻撃者が認証を回避してプラットフォームへの完全なアクセス権を得ることを可能にするものでした。

直ちに求められる緩和策

それらの修正にもかかわらず、その翌日にはHotfix 4が必要となりました。Hotfix 3を適用済みのサーバーであっても、CVE-2026-86218に対しては依然として完全に無防備な状態です。幸いにも、N-ableはクラウドベースのN-centralインスタンスにはすでに保護策を適用済みです。詳しい技術情報については、管理者は直ちにN-central 2026.3 Hotfix 4のリリースノートを確認するべきです。同社は、オンプレミス環境の所有者に対し、遅滞なくアップグレードを行うよう強く勧告しています。バージョン2026.3 HF4、具体的にはビルド2026.3.1.14への移行が必要です。加えて、身に覚えのないアカウントがユーザーリストに存在しないかも確認してください。Huntressはさらに、不審なAPIリクエストを監視することも推奨しています。最後に、最大限のセキュリティを確保するため、信頼できないネットワークからのコンソールアクセスを制限してください。