研究者がPoCを公開し開示をめぐり対立、N-ableが緊急ホットフィックスを公開

N-able Technologiesは火曜日、独立系セキュリティ研究者が今週初めに公開したゼロデイ脆弱性に対処するため、緊急ホットフィックスを公開しました。  

研究者のSean Bales氏が日曜日の深夜に脆弱性を公開した後、同社はホスト型のN-central環境をオフラインにしました。N-centralは広く利用されているリモート監視・管理（RMM）プラットフォームです。

Bales氏は、重大な脆弱性33件を公開したと主張しており、これらを「Able2Shell」と名付けました。同氏によると、これらの脆弱性は、認証なしでの認証情報の窃取、管理者アカウントの作成、リモートコード実行につながる可能性があります。LinkedInへの投稿によると、そう説明しています。 

同氏はGitHubにも調査結果の詳細を投稿しました。その中には、概念実証（PoC）とされるコードも含まれています。

N-ableの社長兼CEOであるJohn Pagliuca氏は、この公開について、適切な調整を経ておらず、検証も済んでいないとして批判しました。 

Pagliuca氏は声明で次のように述べています。「セキュリティ研究は私たち全員を強くしてくれます。私たちは、問題の発見と修正に協力してくださるパートナーを大切にしています。しかし、検証されていない調査結果をいち早く広めようと競うあまり、守るべき責務がおろそかになれば、リスクを負うのは顧客です」

同社は、研究者による責任ある開示の試みを無視したという主張にも反論しています。 

同社はCybersecurity Diveに対し、次のように述べています。「N-ableが研究者からの責任ある開示を無視したという主張は不正確です。研究者が11月9日に公開した新たな脆弱性は、当社が定めた報告窓口を通じた責任ある開示の手順を踏んでいませんでした」

N-ableはN-centralをオフラインにした後、オンプレミスでN-centralサーバーを運用する顧客に対しても、公開された問題への対処が済むまでサーバーをオフラインにするよう勧告しました。同社の幹部は、これらの脆弱性が実際に悪用された形跡は確認していないと説明しています。 

N-ableは月曜日、公開されたPoCコードに関連するスキャン活動を把握していると明らかにしました。 

同社は火曜日にホットフィックス「N-central 2026.4 HF2」を公開しました。同社によると、セキュリティ強化を目的とした複数のパッチと更新が含まれています。 

セキュリティ研究者は状況を注視しており、今回のホットフィックスで一件落着とはならない可能性があると警告しています。

watchTowrのプリンシパル脅威インテリジェンススペシャリストであるYordan Ganchev氏は、Cybersecurity Diveに次のように語っています。「Able2Shellをめぐる状況を注視している人なら、N-ableが新たに7件のCVEに対処するホットフィックスを含む更新を公開したことにお気づきでしょう。ただ、これが最後のホットフィックスにならないことにも気づいているかもしれません。N-ableのパッチ適用は、まるで終わりのない『恐怖のグラウンドホッグ・デイ』のように感じられそうです」

watchTowrの研究者らは、ゼロデイの公開から12時間以内に探索行為を観測しました。その後、PoCと一致する悪用の試みも確認しています。

同社はここ数か月、一連のセキュリティ上の欠陥に対処してきました。9月には、CVE-2026-86218として追跡されている認証前の重大な脆弱性に対処するパッチを公開しました。

同社は水曜日、ホスト型サーバーのすべてのアップグレードが完了したと明らかにしました。