N-ableは、全世界のすべてのリージョンでホスト型N-centralサーバー（NCOD）を、N-central 2026.4 HF2（ビルド2026.4.1.26）にアップグレードしました。ステータスページによると、完了は2026年11月11日1時04分（UTC）です。
インシデントは11月9日14時00分（UTC）に始まり、ステータスは「Major Outage」および「Monitoring」のままでした。N-ableは、修正プログラムを作成して検証する間、予防措置としてホスト型環境をオフラインにしていました。独立系の研究者が、このプラットフォームに存在する重大な欠陥を公開していたためです。
N-ableによると、公開された概念実証（PoC）コードに関連するスキャン活動が現在確認されています。同社はオンプレミス版の管理者に対し、アップグレードが成功するまでサーバーをオフラインのままにするよう引き続き呼びかけています。
ベンダーはさらに、今後のホットフィックスでセキュリティ更新を追加で提供するとしています。ステータス通知には「Able2Shell」という名称は登場しません。この呼称は研究者による公開情報に由来します。
今回のリリースでは、7件のCVEに対処しています。CVE-2026-125883は、複数のXML外部エンティティ（XXE）インジェクションの欠陥を対象としています。
CVE-2026-125878は、複数のObject-Graph Navigation Language（OGNL）インジェクションの欠陥を対象としています。これは式評価に起因する種類の脆弱性で、攻撃者が以前からサーバー側でのコード実行に悪用してきました。
CVE-2026-125882は、ファイルリポジトリのアップロードハンドラーにおけるパストラバーサルを経由して到達できる、リモートコード実行（RCE）の脆弱性です。発見者としてSprocket SecurityのNate Fair氏の名前が挙げられています。
アップロードハンドラーのパストラバーサルは最近、Gogsでも同様のサーバー侵害を引き起こしました。サニタイズされていないファイル名を悪用され、攻撃者が想定外のディレクトリに書き込み、Gitフックを通じてコマンドを実行できる状態でした。
このほか、これらの侵入口と容易に連鎖できるCVEがいくつかあります。CVE-2026-125881は、サービスインポートの検証時にスキーマヒントを悪用するサーバーサイドリクエストフォージェリ（SSRF）です。
CVE-2026-125880は、MMS3パッチメタデータに存在する格納型クロスサイトスクリプティング（XSS）の欠陥で、管理者権限のコンテキストで悪用できます。CVE-2026-125879は、nableアカウントが書き込み可能なsyslog-ng設定を通じて、ローカルでroot権限への昇格を許します。
CVE-2026-91000は、安全でないプロセス間通信（IPC）チャネルを通じて、ローカルでの権限昇格を可能にします。攻撃者がコード実行を達成した後は、rootへのローカル権限昇格が定番の次の一手です。
アナリストは、Linuxにおける同様のroot権限への昇格チェーンについて解説しています。低権限の足がかりが、ホスト全体の掌握につながるものです。今回のホットフィックスは、個々のCVEへの対処にとどまりません。
Uptime.n-ableによると、認証と権限チェックを強化し、ファイルとログの処理に検証を追加し、サーバーコンポーネントを堅牢化します。
あわせて、Webとサインインの保護を強化し、サーバーOSとサードパーティコンポーネントを更新し、旧来のモバイルデバイス管理を削除します。
エージェントとプローブの通信方法も変わり、この更新はホスト型とオンプレミス型の顧客の双方に影響します。エージェントとプローブのアップグレードは顧客自身で行う必要があります。N-ableは、先にエージェントをアップグレードし、その後にプローブをアップグレードするよう推奨しています。
2026.4.1.26以降のプローブは、古いビルドのエージェントやパッチ管理エンジン（PME）とは通信できません。オフラインパッチキャッシュなど、この接続に依存する機能は、バージョンがそろうまで動作しなくなります。PMEの更新はN-ableが自動的に配信します。
オンプレミス版の管理者は、2025.4、2026.1、2026.2、2026.3（2026.3.1のホットフィックス1〜4を含む）、および2026.4の両ビルドから直接アップグレードできます。それより古い環境は、まずサポート対象のリリースへ移行する必要があります。内蔵のリモートコントロールは既知の問題として一時的に無効化されていますが、Take Controlは引き続き利用できます。
リモート監視・管理（RMM）プラットフォームは顧客のエンドポイントへの特権アクセスを提供するため、防御側は、公開されている管理サーバーが標的になっていると想定すべきです。
チームは、サーバーを再接続する前に、認証ログ、ファイルリポジトリのアクティビティ、予期しない外向きのリクエストを確認する必要があります。最近報じられたNotepad++ 8.9.9の修正は、詳細が公開された途端に、信頼境界の欠陥がいかに素早く実用的な攻撃チェーンになるかを示しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/n-able-restores-n-central-cloud-services/
