N-able、管理製品「N-central」のゼロデイ悪用受け追加パッチを公開　遠隔操作や持続的な侵入被害も確認

要点

• IT管理製品「N-central」において、認証回避とアカウント乗っ取りを可能にするゼロデイ脆弱性（CVE-2026-18577）の悪用が確認された。

• 開発元のN-ableは緊急パッチ「Hotfix 2」をリリースし、以前の修正を適用済みの場合も含めてバージョン2026.3.1.10への即時更新を呼びかけている。

• 攻撃者は管理者権限を奪取したのち、リモート制御機能で管理下の端末へ侵入し、接続を維持するためにCloudflare Tunnelを登録していた。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）が悪用確認済みリストに追加したほか、N-ableは侵害痕跡（IoC）や自動検出用テンプレートを公開した。

• IT運用管理ソフトウェアを手掛ける米N-ableは2026年8月、同社のリモート監視・管理（RMM）製品「N-central」に存在する脆弱性が実際にサイバー攻撃へ悪用されている事態を受け、新たな修正プログラム「Hotfix 2」を公開した。2026年7月末に特定顧客の環境で不審な活動が検知されたことでゼロデイ攻撃の発覚に至ったといい、同社はオンプレミス環境で運用している顧客に対して速やかなアップデートを強く求めている。

ゼロデイ脆弱性の発覚とパッチ再提供の経緯

発端となったのは、2026年7月31日にN-ableが顧客環境内で検知した異常なアクティビティだった。調査の結果、未知の攻撃者が当時ゼロデイ（修正プログラムが存在しない状態）だったN-centralサーバーの脆弱性を突いて侵入を試みていたことが判明したという。

この脆弱性は「CVE-2026-18577」として識別されており、共通脆弱性評価システム（CVSS）のスコアは8.2と評価されている。影響を受けるのはバージョン2026.3.1.7より前のすべての環境である。同社によると、この欠陥は以前に対処された脆弱性「CVE-2026-18556」（CVSSスコア: 8.2）の修正が不完全だったことに起因している。どちらの脆弱性も、対象バージョンにおいて認証を回避してアカウントを乗っ取ることを可能にするものだ。すでに米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）も、双方が実際の攻撃で悪用されているとして警告を発している。

N-ableは攻撃手法の進化に対応して防御を強化していると説明しており、今回リリースされた「Hotfix 2」について「前回の案内と重複するものではない」と強調している。以前に提供されたHotfix 1を適用している環境であっても追加の堅牢化措置が含まれるHotfix 2の導入が必須であり、オンプレミス版の利用者は直ちにバージョン2026.3.1.10へ更新する必要があるとしている。

遠隔制御からCloudflare Tunnelによる永続化までの手口

N-ableが確認した攻撃活動では、脆弱性の悪用によって攻撃者がまずリモートから管理者権限を取得していた。続いて、N-centralに備わっている遠隔操作機能「Take Control」を悪用し、管理対象となっているネットワーク内の端末へ次々に接続を広げていったという。

さらに攻撃者は、侵入した端末上で「Cloudflare Tunnel（クラウドフレアが提供する安全なトンネル接続機能）」の新しいサービスを登録していたことが明らかになった。これにより、仮に管理者がN-centralサーバーへの不正アクセスを遮断・失効させたとしても、侵害されたエンドポイントへの外部からのアクセス経路がそのまま維持される仕組みとなっていた。

被害の規模と公開された調査手順

一連の悪用による直接的な影響について、N-ableは一部の限られた顧客にとどまっていると公表している。同社は被害拡大を防ぐため、攻撃者が利用したとされる複数のIPアドレスを侵害指標（IoC: 侵入を受けた兆候）として公開した。

公開された通信先IPアドレスには、以下のものが含まれている。

• 173.249.252[.]176
• 173.249.252[.]200
• 185.156.46[.]150
• 23.234.94[.]43
• 37.153.90[.]88
• 37.19.210[.]32
• 68.235.46[.]214
• 68.235.46[.]235
• 87.249.138[.]34
• 92.118.112[.]181

あわせて同社は、N-centralで管理しているWindows端末のエンドポイントに対し、既知のIoCが存在するかどうかを自動で検査できるカスタムサービス用テンプレートの配布も開始した。

ただし、N-ableはこの検出ツールで異常が見つからなかった場合でも「環境が侵害されていない保証にはならない」と注意を促している。調査は現在も継続中であり、今後も新たな兆候が特定される可能性があることから、自動ツールの結果のみを過信せず、システムログやアカウントの不審な挙動を含めた多層的な検証を実施するよう呼びかけている。