N-ableは、セキュリティ研究者が30件を超えるゼロデイ脆弱性の存在を公に開示したことを受け、ホスト型のN-central環境をオフラインにしました。開示された脆弱性には、攻撃者が脆弱なシステムを乗っ取れるエクスプロイトも含まれています。N-ableはオンプレミス版の顧客にも、サーバーを停止するよう呼びかけています。
セキュリティ研究者のSean Bales氏が開示したのは、11月8日（日）深夜のことです。同氏はAble2ShellというGitHubリポジトリも公開しました。ここには、各脆弱性の概念実証（PoC）エクスプロイトが含まれています。
N-centralは、マネージドサービスプロバイダー（MSP）やIT部門が使うリモート監視・管理（RMM）プラットフォームです。顧客のデバイスやネットワークを遠隔から監視、管理、保護するために利用されています。
同氏によると、脆弱性の検証に使ったのはN-central Appliance 2026.4.0.31です。これはリリース前のバージョンで、同氏は、すべてではないにしても大半の脆弱性が旧バージョンにも影響すると見ています。
開示された脆弱性は、認証バイパス、認証情報の漏えい、任意のファイル書き込み、ディレクトリトラバーサル、クロスサイトスクリプティング（XSS）、XML外部エンティティ（XXE）インジェクション、リモートコード実行（RCE）など多岐にわたります。
最も深刻なエクスプロイトチェーンの一つは、N-centralのサービスインポート機能に存在する、認証不要のXXE脆弱性を悪用するものです。信頼されたローカルセッションを窃取してアカウントのパスワードをリセットし、nableユーザーとしてサーバー上でコマンドを実行します。
同じエクスプロイトで、攻撃者が認証情報を指定した有効なDefault Administratorアカウントを作成することも可能です。これにより、N-centralの管理インターフェースへ不正な管理者アクセスが可能になります。
Bales氏はこのエクスプロイトのデモ動画を公開しました。動画のターミナル出力には、管理者アカウントの作成成功、ログイン認証、保護された管理機能へのアクセス、そしてnableユーザーとしてのリモートコマンド実行が示されています。
ほかにも、管理者が悪意のあるパッチメタデータを閲覧するとroot権限でコマンドが実行されるストアド型XSSや、nableアカウントで動作するコードがroot権限でコマンドを実行できる権限昇格の脆弱性が開示されています。
Bales氏はBleepingComputerに対し、開示した脆弱性のうち最も深刻なのは、認証不要のXXEからRCEに至るエクスプロイトだと認めました。
N-ableが世界各地でサーバーをオフラインに
開示を受けてN-ableは重大なセキュリティインシデントを発表し、南北アメリカ、欧州、アジア太平洋の各リージョンでホスト型のN-central環境をオフラインにしました。
BleepingComputerは報告された脆弱性のすべてを独自に検証したわけではありません。ただ、N-ableがセキュリティ上の問題に対処するホットフィックスを開発中だと認めたことから、少なくとも一部は本物のゼロデイだという研究者の主張には信憑性があります。
N-ableはBleepingComputerに対し、次のように述べました。「N-ableは、日曜深夜の11月8日に独立系の研究者が責任ある形ではない方法で伝えてきた、N-centralの重大な脆弱性に対し、積極的に対応しています」
「予防措置として、11月9日にホスト型N-central環境をオフラインにしました。オンプレミス版N-centralサーバーを運用するお客様には、追って連絡するまでサーバーを一時的にオフラインにするよう案内しています」
「セキュリティ、エンジニアリング、運用の各チームが、必要な対策の実施に向けて取り組んでいます。現時点で、これらの脆弱性が悪用されている形跡は確認していません。お客様とその環境を守ることを最優先とし、新たな情報が入り次第お知らせします」
N-ableはその後のステータス更新で、ホットフィックスの開発と検証を続けていると説明しました。悪用や不正なデータアクセスの証拠は見つかっていないとしています。
従来型のN-central環境は利用できませんが、N-able Loginから利用するEcoverseサービスは稼働を続けているとのことです。
N-ableは、N-centralがいつ復旧するかの見通しを示していません。更新は4時間ごと、新たな情報があればそれより早く公表する予定です。
研究者は過去の報告が無視されたと主張
Bales氏はBleepingComputerに対し、N-ableに事前連絡せずにN-centralの脆弱性を公開したのは意図的だったと語りました。N-ableが、以前に同氏が報告した別の製品の脆弱性に対応しなかったためだといいます。
同氏によると、約5〜6か月前にリモートコード実行の脆弱性2件（互いに無関係）と権限昇格の脆弱性1件を報告しましたが、いまだに修正されていません。
Bales氏はBleepingComputerに次のように語りました。「5、6か月前に、別のN-able製品について、無関係な2件のRCEと権限昇格の脆弱性を報告しました。これらはまだ修正されていません。昨夜公開したゼロデイは、一つも事前に報告していません」
また、同氏と上司、ディレクターの3人で、過去4〜6週間に約5通のフォローアップメールを送ったものの、返答はなかったと主張しています。
Bales氏は、N-ableの脆弱性開示プロセスをめぐるこれまでの経験から「彼らは脆弱性の開示を真剣に受け止めていない」と感じ、N-centralのゼロデイ・エクスプロイトの公開に踏み切ったと述べています。
ただし、今回のエクスプロイトが対象とするのは、以前に報告した製品とは別のN-able製品だと説明しました。
同氏はさらに、以前の報告についてN-ableのバグバウンティプラットフォームから報酬を受け取っていないとも主張しています。
Bales氏によると、開示後にN-ableの経営陣（CEOやCTOを含む）から連絡があり、GitHubリポジトリの削除と、同社への協力を求められたということです。
「脅されたりはしていません。リポジトリを削除して協力してほしい、といった依頼だけでした」
BleepingComputerはN-ableに対し、Bales氏が以前に報告した脆弱性、その修正状況、フォローアップメールへの返答がなかったとされる点について質問しました。
しかし同社はこれらの質問には答えず、N-centralのセキュリティインシデントと予防的なシャットダウンに関する声明のみを寄せました。
以前に報告された脆弱性は、公開されたAble2Shellリポジトリには含まれていません。同氏によると、いまも修正されていないということです。
