N-ableがパッチを急ぎ提供、ハッカーはN-centralのゼロデイを標的に

N-ableは、あるセキュリティ研究者が週末に公開した複数のゼロデイ脆弱性について、パッチの提供を開始しました。同社は、これらの脆弱性を狙った攻撃活動をすでに確認しているとして警告しています。

セキュリティ研究者のSean Bales氏は、「Able2Shell」と名付けた30件以上のN-central脆弱性について、詳細と概念実証（PoC）コードを公開しました。同氏は、別の製品で以前に報告した2件の欠陥にN-ableがパッチを提供しなかったことに不満があり、責任ある開示は行わなかったと説明しています。

N-ableは月曜日、これらのセキュリティ上の欠陥を調査して修正プログラムを開発するため、ホスト型N-central環境をオフラインにしました。あわせて、オンプレミス環境の利用者にもネットワークからの切断を呼びかけています。

パッチが完成したのは、重要度の高い脆弱性に限られます。それでもN-ableは、リスクはおおむね軽減されたとして、ホスト型環境をオンラインに復旧させました。

同社によると、認証なしで悪用できる脆弱性はすべて修正済みです。修正は深刻度と悪用可能性に基づいて優先順位をつけて進めたといいます。

「残る脆弱性を悪用するには、多くの場合、昇格された権限を持つN-centralの認証済みアカウントか、悪用可能性を限定する追加の条件が必要です。これらについては、お客様のセキュリティと保護を引き続き最優先に位置づけ、今後のホットフィックスで対処していきます」とN-ableは述べています。

修正済みの脆弱性には、CVE-2026-125883（複数のXXE問題、CVSSスコア9.3）、CVE-2026-125878（XSSの欠陥、CVSSスコア8.7）、CVE-2026-125879（権限昇格、CVSSスコア8.6）、CVE-2026-125880（XSS、CVSSスコア8.3）、CVE-2026-125881（SSRF、CVSSスコア9.3）、CVE-2026-91000（認証の欠如による権限昇格、CVSSスコア8.4）が含まれます。

今回のアップデートでは、Sprocket SecurityのNate Fair氏が報告したCVE-2026-125882（パストラバーサルからのリモートコード実行、CVSSスコア8.6）も修正されました。

必要なパッチはN-central 2026.4 HF2に含まれています。同社は、攻撃者がすでに公開状態のインスタンスを探索しているとして、オンプレミス版のN-centralはすべて、できるだけ早く更新するよう呼びかけています。

「公開されたPoCコードに関連するスキャン活動を確認していますが、ホスト型のN-centralサーバーが侵害された形跡は確認されていません」とN-ableは説明しています。

セキュリティ企業のDefusedによると、最初のスキャンは月曜日に始まりました。「匿名のエージェントセッションの開設、アプライアンス設定の取得、認証なしでのリモートコントロール用エンドポイントへのアクセスを確認しています。これらの経路は、ゼロデイ攻撃の対象領域に含まれます」と同社は述べています。

N-ableはまた、責任ある開示を無視したとするBales氏の主張に反論しました。同氏は今回公開した脆弱性について、同社が定めた報告窓口を通じて連絡してこなかったと指摘しています。ただし、同氏が過去に提出した脆弱性報告には言及していません。

「利用者が対処する前にエクスプロイトコードを公開しても、誰も安全にはなりません。攻撃者に先行する時間を与えるだけです。今こそ、業界全体が顧客第一の姿勢と、顧客を守る責務を改めて心に刻むべき時です。注意を怠らず、透明性を保ち、慎重に行動する必要があります」と、N-ableのJohn Pagliuca社長兼CEOは述べました。