ハッカーらが、新たに公開されたN-ableのN-centralのゼロデイ脆弱性「4EverAble2Shell」を積極的に悪用し、サーバーを侵害して暗号資産マイナーを仕込んでいます。研究者の報告によると、被害を受けたシステムは少なくとも21台に上り、そのうち19台は同社の最新のセキュリティアップデートを適用済みでした。
この攻撃は、セキュリティ研究者のSean Bales氏が本日、「4EverAble2Shell」と「Agent2Shell」という2つの新たなゼロデイエクスプロイトを公開したことを受けて始まりました。同氏によると、これらを使えば、攻撃者はN-centralアプライアンスのroot権限と、WindowsシステムのSYSTEM権限を取得できるといいます。
N-centralは、マネージドサービスプロバイダー（MSP）やIT部門が、顧客のデバイスやネットワークをリモートから監視・管理・保護するために使用するリモート監視管理（RMM）プラットフォームです。
新たな脆弱性が公開されたのは11月12日です。その2日前の11月10日には、N-ableが緊急のセキュリティアップデートを公開し、Bales氏が今週初めに公表していたN-centralの重大なゼロデイ脆弱性に対処したばかりでした。
Bales氏は、4EverAble2Shell と Agent2Shell の両脆弱性についてPoC（概念実証）エクスプロイトを公開しました。11月10日にN-ableがリリースしたセキュリティアップデートであるN-central Appliance 2026.4.1.26 HF2に対して検証したと説明しています。
4EverAble2Shellを使うと、認証を受けていない攻撃者が、脆弱なN-centralサーバー上でrootとしてコマンドを実行できます。ただし、同氏によると、悪用にはプラットフォームのLegacy API機能が有効になっている必要があります。
この攻撃では、CVE-2026-90436として追跡されているApache Axisの脆弱性と、N-centralの別の権限昇格の欠陥を組み合わせて、root権限を奪取します。
もう1つのエクスプロイトであるAgent2Shellは、N-centralのエージェント機能を標的としています。Windowsデバイス上でSYSTEM権限のコマンドを実行できるとされています。
今週初め、Bales氏が30件を超えるゼロデイ脆弱性とされる情報を公開すると、N-ableはホスト型のN-central環境をオフラインにし、オンプレミスの顧客にもサーバーを停止するよう呼びかけていました。今回の公開は、その直後のことです。
Bales氏は、N-ableによる脆弱性開示への対応や、責任ある開示を受けた欠陥へのパッチ提供の遅さを批判しています。
「私が持っている研究成果をただ公開してしまえば、ベンダーが何を修正し、何を修正しないかを自分で決められるので、私にとってはずっと楽です :)」と、Bales氏はBleepingComputerに語りました。
Bales氏によると、N-ableは、7月に同社へ開示した別製品の2件の無関係なRCE脆弱性にも、いまだにパッチを提供していません。
N-ableは11月12日付のセキュリティアドバイザリで、今回の公開を受けて追加の保護措置を講じていると明らかにしました。さらなる修正を開発する間、N-centralの一部の機能や連携を制限するとしています。
「N-centralの一部の機能や連携を制限しています」と、N-ableは述べています。
「こうした措置により、一部の機能に影響が出る可能性があります。しかし、修復が完了するまでの間、追加の予防策を講じることが、パートナーとその顧客を守るうえで適切な対応だと考えています」
同社は、予防措置としてIntune連携を無効化したと説明しています。また、オンプレミスの顧客には、Legacy APIへのアクセスが無効になっていることを確認するよう促しています。なお、これは初期設定ですでに無効です。
保護措置はホスト型環境にすでに適用されています。それでも顧客には、従来のHotfix 2のガイダンスに沿って、AgentとProbeのアップグレードを引き続き進めるよう勧めています。
N-ableはアドバイザリの中で、今回の新たな欠陥を利用した侵害の兆候は確認していないとしていました。しかしその後、セキュリティ研究者らが、本番環境のN-centralサーバーに対する悪用の成功を報告しています。
すでに4EverAble2Shellを悪用するハッカーたち
サイバーセキュリティ企業のPrevidianはBleepingComputerに対し、PoCエクスプロイトの公開直後の11月12日から、攻撃者が4EverAble2Shell脆弱性の探索を始めたと語りました。
同社は、N-centralのハニーポットに対する不審なリクエストを、UTC 08:30ごろに初めて観測しました。公開されたエクスプロイトで参照されているのと同じJavaクラスが使われていました。
当初のリクエストは脆弱なサーバーの探索にとどまっていました。しかしPrevidianは、その後、攻撃者がハニーポットサーバーに対してエクスプロイトチェーン全体の実行を試みていたことを確認しました。
攻撃ではまず、Apache AxisのCVE-2026-90436を悪用して、サービスアカウント「nable」としてコマンドを実行します。続いて、N-centralの別の権限昇格の脆弱性を突き、root権限を取得します。
この攻撃チェーンは、Bales氏がGitHubで公開したPoCと一致しています。
Previdianによると、権限昇格の段階では、N-centralの特権ヘルパー「setLDFileOwner」とシンボリックリンクを悪用します。これにより、本来はrootが所有しているスクリプトを書き込み可能にします。
攻撃者はその後、スクリプトを改変し、N-centralのserverControl機能を呼び出してrootとしてコマンドを実行します。実行後は、改変したファイルを元の状態に戻そうとします。
ペイロードは、攻撃者が管理するサーバー157.20.241[.]16から追加のシェルスクリプトをダウンロードして実行しようとしました。同時に、診断情報とコマンドの出力結果を同じIPアドレスに送信していました。
PrevidianはN-centralの権限昇格の欠陥を「VULN-2026-0009」として追跡しており、自社の悪用が確認された脆弱性（KEV）カタログにも追加しました。
サイバーセキュリティ企業のHuntbackも、Bales氏が公開したエクスプロイトチェーンによって、攻撃者がすでに少なくとも21台の本番環境のN-centralサーバーを侵害したと報告しています。
Huntbackは、Previdianと同じ攻撃元IPアドレスが、11月12日のUTC 08:30ごろに自社のN-centralハニーポットを探索していたことを確認しました。エクスプロイトチェーン全体を実行しようとする最初の試みは、UTC 09:16に始まりました。
Huntbackが確認した攻撃では、4EverAble2Shellのエクスプロイトチェーンを悪用してシェルスクリプトをダウンロードし、XMRigのMonero（モネロ）マイナーをインストールしていました。
マイナーは、利用可能なCPUコアの約半分を使うよう設定されていました。マイニングを発見されにくくする狙いとみられます。
Huntbackは、攻撃者の暗号資産マイニングプールの統計から、ほかの侵害システムを特定しました。感染したシステムには、nc_で始まり、サーバーのIPアドレスが続く識別子が割り当てられていたといいます。
11月12日のUTC 12:50の時点で、研究者らはこの命名規則に従う稼働中のマイナーを21台確認しました。いずれも直近5分以内にマイニングのシェアを送信していました。
研究者らがその後、関連するIPアドレスを調べたところ、21台すべてがホスト型のN-central環境であることが判明しました。そのうち19台は、11月10日に公開された最新のHotfix 2リリースであるバージョン2026.4.1.26を実行していました。
侵害されたサーバーは、米国、カナダ、南アフリカ、英国、ドイツ、フランス、スウェーデンなど、複数の国に所在していました。
これまでに確認された攻撃は、主にクリプトジャッキングに使われています。しかし攻撃者は、侵害したN-centralのインフラを悪用して、管理対象の顧客環境を狙う別の不正行為に及ぶ可能性があります。
N-centralを運用する組織は、Legacy APIが無効になっていることを確認してください。あわせて、/dms/services/ServerUIへの不審なリクエスト、特にjline.internal.TerminalLineSettingsを参照するものがないか調査する必要があります。
Huntbackはさらに、予期しないsystemdサービス「xvd.service」、暗号資産マイニングのプロセス、/tmp/.xvdまたは/var/tmp/.xvd配下に作成されたファイルがないかの確認も推奨しています。
4EverAble2Shellの攻撃では、侵害されたサーバーのroot権限が完全に奪われます。これらのIOC（侵害指標）を検知した組織は、サーバーが完全に侵害されたものとして扱う必要があります。
