概要
MSP(マネージドサービスプロバイダー)向けに広く使われているN-ableのRMM(遠隔監視管理)ツール「N-central」において、認証バイパスの脆弱性(CVE-2026-18577、CVSS 4.0スコア8.2)が実際の攻撃で悪用されていることが判明した。この脆弱性は、以前に修正されたはずの脆弱性(CVE-2026-18556、こちらもCVSS 8.2の「未認証での管理者アカウント乗っ取り」)に対するパッチが不完全であったために生じたもので、攻撃者は当初の修正(ビルド2026.2)を迂回する新たな手法を発見し、管理者権限を奪取していた。N-ableは8月2日、緊急のホットフィックスとしてビルド2026.3.1.7をリリースし、対応を進めている。
N-ableは7月31日、オンプレミス顧客からのライセンスエラーの増加という異常を検知したことをきっかけに調査を開始し、8月2日に悪用の事実を確認した。同社は影響を受けた顧客数を「限定的」としているが、具体的な数や顧客名は明らかにしていない。一方でセキュリティ企業Huntressは8月3日、多くの組織が未パッチのままであると警告しており、両者の間で被害範囲の認識に差がある状況だ。
攻撃の手口と影響
Huntressによれば、攻撃者はこの認証バイパスを悪用して管理者レベルのアクセス権を取得すると、「多数または全ての管理対象エンドポイントへ新たなスクリプトやジョブをプッシュする」「N-ableエージェント経由でデュアルユースツールを展開する」「重要システムへのリモート制御セッションを開始する」「セキュリティ関連の設定を変更する」といった行為が可能になるという。実際の攻撃では、侵害したエンドポイント上にサービスとして「Cloudflared」(Cloudflareトンネル)を展開する手口が確認されている。トンネルはCloudflareのエッジへ向けて外向きに接続するため、インバウンドのファイアウォールルールを必要とせず、N-centralサーバー側のアクセスを遮断された後も攻撃者が接続を維持できる点が特徴だ。侵害の痕跡としては、ユーザーのドキュメントフォルダ内に配置された不審な「svchost.exe」ファイルや、前述の「Cloudflared」サービスが挙げられている。
N-central自体がMSPによって顧客企業のITインフラ管理に使われるツールであるため、このサーバーが侵害されると、N-ableの直接の顧客だけでなく、その先にある顧客企業(エンドポイント)にまで被害が波及しうる点が特に懸念されている。影響を受けるのはホスト型・オンプレミス型の両方のN-centralサーバーで、CVE-2026-18556はビルド2026.1までのバージョンが、CVE-2026-18577はビルド2026.3.1.7より前の全バージョンが対象となる。
修正パッチと推奨対応
N-ableは8月2日、修正版となるビルド2026.3.1.7を緊急リリースした。ホスト型(クラウド)インスタンスは自動的に更新されるが、オンプレミス環境の顧客は手動でのアップデート適用が必要となる。両社の記事では、攻撃者インフラとして関連する複数のIPアドレス(VPN出口ノードを含む)や不審なドメインなど、具体的な侵害指標(IOC)も公開されている。N-ableは、これらの痕跡が見つかった顧客に対し直ちにサポートへ連絡するよう呼びかけている。今回のケースは、脆弱性修正パッチが不完全であったために攻撃者に再度突破された事例であり、パッチ適用後も継続的な監視と検証の重要性を改めて浮き彫りにしている。