N-ableの「N-central」に新たな脆弱性、不十分な修正を突く乗っ取り攻撃が発覚

要点

• IT管理プラットフォーム「N-central」で、管理者権限を遠隔から乗っ取られる脆弱性「CVE-2026-18577」が悪用されていることが明らかになりました。

• 以前提供された脆弱性の修正が不完全だったため、攻撃者はその修正を回避してサーバーに侵入する手法を用いていました。

• 攻撃者は乗っ取ったサーバーを足がかりに、管理対象のエンドポイントへ「Cloudflare Tunnel」を仕込み、ファイアウォールを回避する持続的な接続経路を構築していました。

• N-able社は緊急対策として、本脆弱性を修正した最新バージョン「2026.3.1.7」への即時アップデートを呼びかけています。

• IT管理および監視ソフトウェアを提供する米N-able（エヌ・エイブル）社は、同社のRMM（リモートモニタリング＆管理：遠隔でシステムの監視や保守を行うIT管理ツール）製品である「N-central」において、管理者権限が第三者に乗っ取られる深刻な脆弱性の悪用が確認されたと発表しました。過去に実施された修正対策が不完全であったため、攻撃者がそれを回避した形です。同社は2026年8月2日、この問題を解決した緊急ホットフィックス（緊急用の修正プログラム）を公開し、顧客へ速やかな適用を促しています。

パッチの回避で生じた新たな脆弱性

今回確認された問題は、元々確認されていた脆弱性「CVE-2026-18556」（未認証での管理者アカウント乗っ取り）に端を発します。これは「認証バイパス（正規のログイン手順を経ずにシステムへ侵入するバグ）」に分類され、脆弱性の深刻度を示すCVSS 4.0のスコアは「8.2」と評価されていました。

N-able社はバージョン「2026.2」でこの脆弱性を修正したとしていましたが、攻撃者がそのパッチ（プログラムの一部を修正するためのデータ）を回避して同様に乗っ取りを行える別経路が見つかりました。これが新たな脆弱性「CVE-2026-18577」（CVSS 4.0スコア 8.2）です。フィンランドの国家サイバーセキュリティセンターは、最新の修正版より前のすべてのバージョンが本脆弱性の影響を受けると警告しています。

外部トンネルを用いた執拗な接続維持

N-able社によると、攻撃者はN-centralサーバーに侵入後、製品に備わる「Take Control（遠隔操作機能）」を使って、顧客が管理する「エンドポイント（PCやサーバーなどの末端デバイス）」へとアクセスを広げました。

さらに、エンドポイントに「Cloudflare Tunnel（安全な通信経路を確立するツール）」をサービスとして登録し、外部のCloudflareネットワークへ向けて「アウトバウンド（ネットワークの内側から外側へ向かう通信）」接続を確立しました。このトンネルは内側から通信を開始するため、企業のファイアウォールに外部からのアクセスを許可する受信ルールを追加する必要がありません。

このトンネルはサービスとして常駐するため、端末の再起動後も接続が維持されます。これにより、サーバー経由のアクセスルートが遮断された後も、攻撃者はエンドポイントへのアクセス権を維持し続けることが可能となっていました。

異変の検知と確認された被害

N-able社は7月31日、オンプレミス（自社所有の設備でシステムを導入・運用する形態）の顧客から通常とは異なるライセンスエラーが多発しているという報告を受け、調査を開始しました。その結果、バージョン「2026.1」以前を実行していたサーバーで、遠隔から不正に管理者権限が取得されていた事実を検知したと説明しています。

セキュリティ企業Huntress（ハントレス）の報告によれば、同社の顧客環境におけるセルフホスト（顧客が自主運用する形態）型のN-centralサーバー1台でも本脆弱性の悪用が確認されました。攻撃者はそのサーバーを通じて傘下の9組織に侵入し、それぞれ1台ずつのエンドポイントに到達したとされています。この事例での活動はプロセスの列挙のみに留まり、Cloudflare Tunnelの設置は観測されなかったということです。

推奨される対策と侵害指標

N-able社はすべてのN-centralユーザーに対し、修正済みの最新版である「2026.3.1.7」への即時アップデートを求めています。クラウド版を利用している場合は計画に従って自動で更新されますが、セルフホスト型のサーバーは顧客が手動で更新を適用しなければなりません。

また、すでに侵害された形跡がある場合、サーバーのアップデートだけでは端末に仕込まれた接続経路は削除されません。そのため、個別のエンドポイントから悪意あるトンネルサービスを手動で排除する必要があります。

N-able社とHuntress社は、侵害の有無を確認する指標（IoC：攻撃の痕跡を示すデータ）として、利用者の「Documents（ドキュメント）」フォルダ内に不審な svchost.exe ファイルがないか、サービスに「Cloudflared」が登録されていないか、公開されたIPアドレスや攻撃用のドメイン（mousears.synology.me など）への通信がないかを確認するよう推奨しています。