CISA、悪用が確認されたN-ableの管理ツール「N-central」の脆弱性をカタログに追加 顧客の被害を受けて対策呼びかけ
要点
- 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、IT管理システム「N-able N-central」の深刻な脆弱性（CVE-2026-18577）を、実際の悪用が確認された脆弱性（KEV）のカタログに追加した。
- この脆弱性は過去に公開されたパッチの修正が不十分だったことに起因し、攻撃者による認証バイパスやアカウントの不正な乗っ取りを許す恐れがある。
- 攻撃が成功すると、製品標準の遠隔操作機能「Take Control」を通じて、管理対象の端末に侵入されたり、ネットワーク内で横展開されたりするリスクがある。
- セキュリティ企業は、正規のVPNサービスやトンネリングツールが悪意ある通信の隠蔽目的で利用されていることを確認し、警戒を促している。
- 開発元のN-ableはすでに修正プログラム「2026.3 HF1」を公開しており、CISAは関連機関に対して速やかなアップデートを義務付けている。
米国のサイバーセキュリティおよびインフラセキュリティ庁（CISA）は2026年8月3日、ITインフラの監視や管理を行うためのプラットフォーム「N-able N-central」に深刻な脆弱性が存在し、すでに実際のサイバー攻撃に悪用されているとして、同庁の「悪用が確認された脆弱性（KEV）」カタログに追加した。この脆弱性を悪用した顧客企業のシステムへの侵害が実際に確認されたことを受けた措置で、CISAは対象となるシステム管理者に対し、速やかな修正プログラムの適用と環境内のアクセスログの調査を呼びかけている。
パッチの不備から生じた「認証バイパス」の脆弱性
今回KEVカタログに追加された脆弱性は「CVE-2026-18577」として管理されており、脆弱性の深刻度を示すCVSS（共通脆弱性評価システム：脆弱性の危険度を数値化する指標）のスコアは「8.2」の「高（High）」と評価されている。
この脆弱性は、以前に同じ製品で報告されていた別の脆弱性「CVE-2026-18556」（CVSSスコア：8.2）に対して提供された修正プログラムの不備、すなわち「不完全なパッチ適用」が原因となって新たに発生したものだ。脆弱な状態のままのN-centralサーバーにおいては、代替の経路や接続チャネルを悪用されることで、本来必要なはずの認証プロセスがバイパス（回避）されてしまい、結果として第三者による管理者アカウントの乗っ取りを許してしまう状態になっていたという。
侵入後の「遠隔操作」と組織内ネットワークへの横展開
CISAの警告によると、攻撃者がこの脆弱性の悪用に成功した場合、まず対象となるN-centralサーバーへの管理者アクセス権を取得する。その後、システムに標準機能として組み込まれている遠隔操作機能「Take Control（テイクコントロール）」を悪用することで、本来の管理対象であるユーザー端末（エンドポイント）へと不正な侵入を拡大していくという。このステップにより、攻撃者はターゲット企業のネットワーク内に長期間潜伏し、活動を維持するための「永続化メカニズム（侵入を維持する仕組み）」を配備する恐れがある。
セキュリティ企業であるHuntress社の調査報告では、攻撃が成功した後に観測されたいくつかの特徴的な不正活動パターンが明らかにされている。
- 重要サーバーへの偵察：ネットワーク全体を一括管理する「ドメインコントローラー」をはじめとする重要なサーバーを特定するために、高度な偵察活動を行う。
- 実行中プロセスのスキャン：侵害された端末内で実行されている動作プロセスの一覧を列挙したのち、いったん通信を切断する。
- ネットワーク内での横展開：最初の侵入ポイントとなったシステムを足がかりに、組織内の他のコンピューターへと侵入範囲を広げる「ラテラルムーブメント（横展開）」を実行する。
また、少なくとも1つの被害事例において、攻撃者は「MSP Support」という、本来は正規の遠隔操作セッションで用いられるデフォルトのユーザー名を使って不正な接続を試みていた。この正規ユーザー名での接続は、VPNサービス（「Mullvad」および「NordVPN」）の通信の出口（エグジットノード）にあたるIPアドレスから実行されていた。
警戒すべき「侵害の兆候（IoC）」と通信発信元
今回の攻撃活動を受け、N-able社やセキュリティ研究者は、システム管理者が自社の環境をチェックするための「侵害の兆候（IoC）」としていくつかの具体的な手がかりを公開している。
まず、デバイス内に存在する各ユーザーの「ドキュメント」フォルダーを確認し、その中に「svchost.exe」という不審なファイルが作成されていないかを調べるよう促している。また、登録されているシステムサービスの中に「Cloudflared」という名称が存在しないかどうかも警戒すべきポイントである。Cloudflared自体はCloudflare社が提供する正規のネットワークトンネリングツール（外部と安全なプライベート通信を行うための接続ソフト）だが、セキュリティ対策ソフトによる検知を逃れながら、外部と隠密に通信経路を確立するためにハッカーによって悪用されるケースが多発している。
さらに、以下の4つのIPアドレスからの不審な接続がログに残っていないか、スキャンを行う必要がある。
173.249.252[.]20087.249.138[.]3437.19.210[.]3268.235.46[.]214
これらは前述のVPNサービスのエグジットノードであり、例えば「87.249.138[.]34」はNordVPN、「37.19.210[.]32」はMullvadに紐付けられている。Huntress社の報告によれば、特にMullvadのIPアドレスである「37.19.210[.]32」は、今回の事件が明るみに出る前にも、他社システムに対するパスワード総当たり（ブルートフォース）攻撃やスパム送信など、さまざまな悪意ある活動に悪用されていた形跡があるという。
狙われ続けるリモート管理プラットフォーム（RMM）
現時点で、これらの攻撃活動を実行している具体的な脅威グループやハッカー組織の身元は公に特定されていない。また、Huntress社は複数の組織で攻撃被害を観測しているものの、これが現段階で不特定多数を狙った広範囲かつ無差別な攻撃キャンペーンに拡大しているわけではないと分析している。
開発元のN-able社は、攻撃の全体的な規模については明らかにしていないが、「限られた数の顧客」がこの「CVE-2026-18577」を悪用した不正アクセスによって侵害された事実を認めている。
多くの組織のシステムや端末を一括して監視・管理できる「リモート監視・管理（RMM）」プラットフォームは、攻撃者にとって1箇所の突破で多くの端末に一網打尽にアクセスできる極めて魅力的なターゲットだ。そのため、同種のツールは常に攻撃者の標的になりやすい。実際、N-centralにおいては、ほぼちょうど1年前の2025年8月にも、「CVE-2025-8875」および「CVE-2025-8876」という2つの脆弱性が、オンプレミス環境をターゲットにした限定的な攻撃で悪用され、CISAのKEVカタログに追加された過去がある。
求められる対策と推奨スケジュール
N-able社はこの脆弱性を修正したアップデートプログラム「N-central 2026.3 HF1」をすでにリリースしており、利用企業に速やかな適用を呼びかけている。
CISAは、法的な要請義務を持つ米国の連邦市民行政機関（FCEB）に対し、2026年8月6日までにこの修正プログラムを適用し、システム内のTake Control機能の活動履歴を徹底的にレビューすることを勧告している。影響を受ける可能性のあるすべての一般企業や管理者にとっても、同様に早期のアップデートとアクセス履歴の確認を行うことが強く推奨されている。