N-ableは、同社のリモート監視・管理（RMM）プラットフォーム「N-central」で、30件を超える未修正（ゼロデイ）の脆弱性が指摘され、緊迫した危機対応に追われています。攻撃者がコマンドを実行したり、管理者アカウントを作成したり、root権限へ昇格したりできるエクスプロイトも公開されました。
事態をセキュリティ上きわめて深刻だと判断したN-ableは、今週前半に南北アメリカ、欧州、アジア太平洋地域でホスト型のN-central環境をオフラインにしました。攻撃的セキュリティ研究者のSean Bales氏が日曜日に脆弱性を公表し（総称は「Able2Shell」）、その後、GitHubアカウント「Oracle-Security」で一連のエクスプロイトを公開したためです。N-ableは、オンプレミスのサーバーを運用する顧客にも、追って通知があるまでシャットダウンするよう呼びかけました。
同社は水曜日のセキュリティアップデートで、「N-ableは、この重大なセキュリティ事案を通じて、お客様に忍耐強く、柔軟に、そしてパートナーとして対応していただいたことに心より感謝いたします」と述べました。
この異例の事態は、エンドポイント管理業界全体に大きな影響を及ぼします。マネージドサービスプロバイダー（MSP）やIT管理者は、顧客のデバイスやネットワークを遠隔から監視・管理・保護するためにN-centralを幅広く利用しているためです。自律型エンドポイント管理プロバイダーAction 1のフィールドCTO（最高技術責任者）、Gene Moody氏は、RMMプラットフォームが「業務上必要なために」「並外れた権限」を持っていることから、脆弱なプラットフォームの利用者が負うリスクは大きいと指摘します。
Moody氏によると、N-ableなどのRMMプラットフォームは、スクリプトの実行、ソフトウェアの配布、リモート管理といった重要な作業を、多くの場合数千台ものエンドポイントに対して実行できます。その代償として、「攻撃者にとって極めて魅力的な標的にもなる」と同氏は話します。
実際、エクスプロイトコードが公開されたことで、攻撃者はすでに脆弱なシステムをスキャンしています。ただし、N-ableは水曜日のセキュリティアップデートで、悪用は確認されていないと報告しています。同社は最も重大な脆弱性の一部に迅速に対処し、火曜日に「N-central 2026.4 Hotfix 2（ビルド2026.4.1.26）」をリリースしました。これにより、関連する7件のCVEを修正しています。今後もセキュリティアップデートを追加でリリースする予定だとしています。
N-ableに複数のゼロデイ脆弱性
このN-ableのホットフィックスが対象とする脆弱性は、次のとおり追跡されています。CVE-2026-125883は複数のXXE脆弱性、CVE-2026-125878は複数のOGNLインジェクション脆弱性を対象としています。CVE-2026-125879はローカルでの権限昇格の脆弱性、CVE-2026-125880はMMS3パッチのメタデータを介した格納型XSS、CVE-2026-125881はスキーマ検証の欠陥だと説明されています。
このパッチは、さらに2件にも対処しています。1件はCVE-2026-125882で、ファイルリポジトリのアップロードパスにおけるパストラバーサルを悪用したリモートコード実行（RCE）が可能になります。Sprocket SecurityのNate Fair氏が発見しました。もう1件はCVE-2026-91000で、安全でないIPCチャネルを経由したローカルでの権限昇格につながります。
Bales氏は33件の個別の脆弱性を公表しましたが、そのうちいくつかは、同じリストにある他の脆弱性を組み合わせた、より長い攻撃チェーンの一段階にあたります。Tenableのリサーチ特別作戦チームが本日公開したレポートが明らかにしました。Bales氏が挙げた攻撃チェーンは全部で4つあります。Tenableによると、なかでもXXEチェーンが最も深刻な可能性があります。
Tenableのチームは、「研究者はXXEチェーンを認証情報不要だと説明しており、N-ableのCVE-2026-125883の記載でも、必要な権限もユーザー操作も『なし』とされています」と記しています。このチェーンは、N-centralのサービスインポート機能にある認証不要のXXE脆弱性を突くものです。最終的に、認証なしのネットワークリクエストを、中央のIT管理システムの完全な乗っ取りにまで発展させる恐れがあります。
実際、CyberSec Guruは、認証情報不要のXXEエクスプロイトを「公開内容の目玉」と呼びました。火曜日に更新されたブログ記事では、これを悪用してシステムへの侵入口を築く手口を詳しく解説しています。
さらに同記事によると、攻撃者がいったんプラットフォームを侵害すれば、他の脆弱性を使って アクセス範囲を広げられます。特権を持つ内部セッションを乗っ取り、最終的には基盤サーバー上でコマンドを実行できるため、顧客をまたいだ侵害への道が開かれます。多数の組織に代わってインフラを管理するMSPにとって、このシナリオはとりわけ深刻です。
N-central、再びサイバー攻撃の危険に
今回公表された脆弱性は、N-centralが重大なセキュリティインシデントに直面する初めてのケースではありません。2025年8月には、CISAがN-centralの2件の脆弱性、CVE-2025-8875とCVE-2025-8876を、悪用が確認されたとして既知の悪用された脆弱性（KEV）カタログに追加しました。
さらに最近の2026年8月には、攻撃者が認証バイパスの脆弱性（CVE-2026-18556）を悪用しました。その後、関連する脆弱性CVE-2026-18577を突いて、N-ableの最初の修正を回避する方法も見つけています。この2件目のインシデントでは、攻撃者が脆弱なN-centralサーバーの管理者権限を取得し、プラットフォームのTake Control機能を使って管理対象システムにアクセスできました。
同じ管理プラットフォームで脆弱性が繰り返し見つかる状況は、RMM基盤のセキュリティに関するより大きな疑問を投げかけています。こうしたツールがMSPとその顧客に広範なアクセス権を与えていることを考えれば、なおさらだとMoody氏は述べます。
同氏は「これは、こうしたプラットフォームを狙う最近の一連の攻撃の中でも、また新たな警告だと見ています。エンドポイント管理プラットフォームには、それだけ多くの権限が集中しているということです」と語ります。「これらは不可欠な存在ですが、多要素認証（MFA）やロールベースのアクセス制御では、プラットフォームが侵害された場合のあらゆる被害を封じ込められません」
N-ableのサイバーリスクは時限爆弾
総じて、今回の事態はN-ableとその顧客にとって深刻なセキュリティ上の泥沼を生み出しました。脆弱性の悪用が間近に迫っている可能性があるため、顧客には必要に応じてホットフィックスを適用し、その他の緊急の緩和策も講じるよう勧告されています。
Moody氏は「この問題を真剣に受け止めない組織には、刻一刻と時間が迫っています」と警告します。影響を受ける組織には、「N-ableが安全な復旧手順を示すまで、オンプレミスのN-centralをオフラインのままにする」よう助言し、変更を加える前にログを保全するよう求めています。
さらに同氏は、「少なくとも11月初旬以降の認証と管理操作を確認すべきです。脆弱性が今になって明らかになったからといって、公表前に悪用されていないとは限りません」と注意を促しています。
Huntressの研究者も、影響を受けた組織に対し、11月8日以降のログインと認証のアクティビティを調べ、予期しないアクセスや不正なアクセスがないか確認するよう勧めています。月曜日に公開されたブログ記事によるものです。もし不審なアクセスが見つかった場合は、攻撃者がサーバー上でRCEや権限昇格を実行した可能性があるため、インシデント対応チームを関与させるべきだとしています。
Huntressはまた、監査ログを調べ、異常なリモートアクセスセッションや新たに展開されたスクリプトといった二次的な侵害指標がないか確認するよう推奨しています。過去のN-central悪用事例では、「脅威アクターが下流の環境に不正なスクリプトやツールを『ばらまく』様子が確認された」ためです。
CISAが3月に示したガイダンスでは、最小権限、フィッシング耐性のあるMFA、2人目の管理者による承認が求められていました。Moody氏は、今回はN-able環境を守るために、さらに踏み込んだ対策を取りたいと言います。重要なシークレットや署名鍵をプラットフォームの外に置き、影響の大きい操作については、暗号署名された承認をエンドポイント側が独自に検証する仕組みにするという案です。
同氏は「認証情報を盗まれても、コンソールを掌握されても、それだけで自動的にその権限が与えられてはなりません」と語ります。「保護された操作を承認するのに、ログインだけで十分だと見なす時代は終わりにすべきです」
翻訳元: https://www.darkreading.com/endpoint-security/n-able-n-central-offline-33-flaws
