N-able、33件のゼロデイが公開され N-central の修正を緊急リリース

N-able は、研究者の Sean Bales 氏が概念実証（PoC）コード付きで33件のゼロデイ脆弱性とされる情報を公開したことを受け、N-central の重要なホットフィックスをリリースしました。この更新により、プラットフォームに組み込まれたリモートコントロール機能は一時的に無効化されます。

N-able は11月10日のリリースノートで、N-central 2026.4 Hotfix 2（ビルド 2026.4.1.26）の詳細を公表しました。同社はこの更新を、リモート監視・管理（RMM）プラットフォーム向けの重大なセキュリティリリースと位置づけています。

11月9日に公開された「Able2Shell」では、4つのエクスプロイトチェーンが解説されています。Bales 氏によると、いずれも N-central サーバー上でのコード実行に至り、うち2つは root 権限で実行でき、1つは認証情報なしで成立するといいます。同氏は、プレリリース版でこれらの脆弱性を検証したとしたうえで、現行版を含む以前のバージョンでも、すべてではないにせよ大半が再現できるはずだと述べています。

ホットフィックスは7件のCVEに対処、リモートコントロールは無効化

N-able は11月9日、予防措置としてホスト型 N-central をオフラインにしました。オンプレミス版の顧客に対しては、更新が完了するまでサーバーをオフラインのままにするよう呼びかけています。

Hotfix 2 が対処するのは7件のCVEです。内容は、XML外部エンティティ（XXE）の脆弱性、Object-Graph Navigation Language（OGNL）インジェクション、権限昇格、格納型クロスサイトスクリプティング、サーバーサイドリクエストフォージェリ（SSRF）、パストラバーサルによるリモートコード実行にわたります。

対象は CVE-2026-125883、CVE-2026-125878、CVE-2026-125879、CVE-2026-125880、CVE-2026-125881、CVE-2026-125882、CVE-2026-91000 の7件です。このうち CVE-2026-125882 の発見者としては、Sprocket Security の Nate Fair 氏が挙げられています。

リリースノートによると、リモートコントロールは今後の修正で再び有効化される予定です。また、アップグレード後はエージェントとプローブも更新するよう顧客に求めています。N-able はInfosecurityに対し、ホスト型環境はアップグレードが完了し、すでにオンラインに復帰していると述べました。

N-able は、今回のリリースが「11月9日に公開された脆弱性のうち最も重大なもの」に対処したものだと説明しています。さらに、追加のセキュリティ更新を含むホットフィックスを、続けて提供する予定だとしています。

N-central の関連記事：N-able、重大なリモートコード実行の脆弱性に対するホットフィックスを公開

N-able は公開手法に反論、悪用の試みも確認

N-able によると、公開された PoC コードに関連するスキャン活動を確認しているといいます。

保険会社 Beazley のサイバーセキュリティ部門である Beazley Security が11月10日に更新したアドバイザリーによると、セキュリティ企業の WatchTowr は、公開後の夜間に自社の N-central ハニーポットへの悪用の試みを観測しました。これらは顧客環境ではなく、おとりとして設置したシステムです。

N-able は、Bales 氏からの責任ある開示を無視したという指摘は事実ではないと反論しています。11月9日に公開された脆弱性は、同社が設けている正式な報告窓口を通じて開示されたものではなかったとも説明しました。

Bales 氏はInfosecurityの取材に対し、N-able の説明は正確であり、いずれの脆弱性も事前に同社へ報告していなかったと認めました。N-able が無視されたと主張した背景には、すでに修正済みの古い README があったと考えているとも付け加えています。同氏は、公開には「ベンダーに可能な限り早く問題を修正させることで、ベンダーをより安全にする効果がある」と主張しました。

これに対し、N-able の社長兼CEOである John Pagliuca 氏は正反対の見解を示しました。同氏はInfosecurityに対し、「顧客が対応する機会を得る前にエクスプロイトコードを公開しても、誰の安全にもつながらない。攻撃者に先行する時間を与えるだけだ」と述べています。

リリースノートにも N-able の声明にも、7件のCVEが Able2Shell の33件の問題とどう対応するのかは示されていません。33件すべての PoC コードは、現在も公開されたままです。