N-ableのN-centralに存在する新たなゼロデイ脆弱性が、不満を抱えたセキュリティ研究者によって公開された数時間後に、攻撃者による悪用が始まりました。
「4EverAble2Shell」と名付けられたこのセキュリティ上の欠陥を突くと、認証されていない攻撃者が、最新のパッチを適用済みのN-centralサーバーでリモートコード実行（RCE）を行い、root権限を取得できる恐れがあります。
このゼロデイ脆弱性は、セキュリティ研究者のSean Bales氏がGitHubで公開しました。公開は、N-ableが修正プログラムを公開した2日後のことです。この修正は、同氏が週末に公開した、未修正だった複数の脆弱性に対応するものでした。
Bales氏によると、4EverAble2Shellは、Apache Axisの最近の脆弱性（CVE-2026-90436、CVSSスコア：9.8）のエクスプロイトと、Legacy APIを有効にしたN-central環境に存在する詳細不明のセキュリティホールを突くエクスプロイトを連鎖させるものです。
このエクスプロイトチェーンはまずAxisの脆弱性を突いてRCEを達成し、その後root権限への昇格とシェルスクリプトの実行を試みます。
Bales氏によれば、このエクスプロイトチェーンは、今週2026.4 HF2（ビルド番号2026.4.1.26）に更新されたN-centralサーバーに対しても有効です。このバージョンには、先に公開された「Able2Shell」ゼロデイ脆弱性群の修正が含まれています。
N-ableは新たなゼロデイ脆弱性に直ちに対応し、Legacy APIやIntune連携など、N-centralの一部の機能と連携を制限しました。
N-ableは11月13日、「本日も調査を継続した結果、新たな侵害の痕跡（IoC）を確認しました。該当するお客様と緊密に連携し、潜在的なリスクの評価と軽減に取り組んでいます」と説明しました。
Bales氏は11月12日、4EverAble2Shellに加え、Agent2Shellのプルーフ・オブ・コンセプト（PoC）エクスプロイトコードも公開しました。Agent2Shellは約12件のゼロデイ脆弱性からなる一群で、攻撃者が管理対象のWindowsエージェント上でSystem権限によりコマンドを実行できる恐れがあります。
4EverAble2Shell、数時間以内に悪用される
早期警戒型の脅威インテリジェンスプラットフォームであるPrevidian（旧KEVIntel）は、攻撃者がPoCの公開から数時間後には、4EverAble2Shellを攻撃に使い始めたと述べています。
先制型アタックサーフェス管理を手がけるWatchTowrは、「N-ableの新たなゼロデイ脆弱性が公開されました。WatchTowr Intelはすでに、Legacy APIが有効なビルドに影響する『4EverAble2Shell』を狙ったプローブを確認しています」と警告しました。
LupovisとHuntbackは、PoC公開から約5時間後に、攻撃者がN-centralサーバーへの侵入に成功したことを確認しました。攻撃者はsystemdまたはcronによる永続化を施したXMRigマイナーを設置していました。
LupovisはSecurityWeekに対し、「被害を受けたサーバーのマイナーには、それぞれIPアドレスにちなんだ名前が付けられています」と説明しました。攻撃者のウォレットには、侵害されたN-centralサーバーに紐づく21台のリグが表示されていたといいます。内訳は米国が9台、南アフリカが4台、カナダが4台で、英国、ドイツ、フランス、スウェーデンにも存在します。
Lupovisは、「当社のデコイは何も実行しないため、リストにあるリグに当社のものは1つもありません。すべて、エクスプロイトチェーンを実行されてrootを奪われた実在のサーバーです」と述べています。
Huntbackは技術解説で、被害者のうち19件がN-ableの最新パッチを適用済みだったと指摘しています。
Huntbackは、「確認できたペイロードはマイナーのみですが、この権限昇格により、攻撃者は顧客のエンドポイントを管理するホストでroot権限を握ることになります。被害を確認した場合は、単なる後片付けではなく、完全な侵害として扱ってください。Hotfix 2を適用しただけでは不十分です」と警告しています。
翻訳元: https://www.securityweek.com/hackers-exploit-new-n-central-zero-day-hours-after-poc-publication/
