N-ableの管理基盤「N-central」に最大深刻度10の認証不要RCE脆弱性　5週間で4度目の緊急修正

要点

• IT管理ソリューションを手掛けるN-ableは、リモート監視・管理（RMM）製品「N-central」に存在する最大深刻度の脆弱性を修正するHotfix 4を公開した。

• 修正対象の「CVE-2026-86218」は認証なしで遠隔からコード実行が可能な脆弱性で、CVSS 4.0スコアは最高値の10.0と評価されている。

• バージョン2026.3.1.14未満のすべてのオンプレミス環境が影響を受け、前日に公開されたHotfix 3を適用済みのサーバーも更新が必要となる。

• 実環境での悪用について、同社内のリリースノートでは「未確認」とされる一方、インシデント通知では「野生下での悪用を確認」と記載され、情報が分かれている。

• セキュリティ企業Huntressは、修正適用までの間、アクセス元の制限やサーバーの一時的なオフライン化を推奨している。

• 米N-ableは協定世界時（UTC）の2026年9月6日未明、同社が提供するリモート監視・管理（RMM：IT資産やネットワークを遠隔から集中管理するソフトウェア）プラットフォーム「N-central」に向け、最新の修正プログラム「2026.3 Hotfix 4」を緊急リリースした。同製品では過去5週間のあいだに4度目となるホットフィックスの提供であり、今回は認証を経ずに外部からサーバー上で任意のコードを実行される恐れがある、極めて深刻な脆弱性に対処している。対象となるオンプレミス環境のユーザーに対し、同社は直ちに最新ビルドへのアップグレードを行うよう求めている。

最大深刻度「10.0」の脆弱性CVE-2026-86218

今回修正された脆弱性は「CVE-2026-86218」として管理されており、静的コードインジェクション（CWE-96：外部入力がプログラムコードとして解釈・実行されてしまう欠陥）に分類されている。脆弱性の深刻度を評価する指標であるCVSS 4.0のスコアにおいて、CVE採番機関でもあるN-able自身により、最高値となる「10.0」が割り当てられた。この欠陥が悪用された場合、悪意のある攻撃者が事前認証なしでN-centralサーバー上で任意のコードを実行（RCE）できる可能性があるという。

影響を受けるのは、ビルド「2026.3.1.14」より前のすべてのオンプレミス版N-centralである。これには、今回の修正のわずか8時間あまり前に公開されたばかりの「Hotfix 3（ビルド 2026.3.1.13）」を適用済みのサーバーも含まれる。

なお、クラウドホスト版（NCOD）のインスタンスについてはすでに修正が適用されているほか、管理対象端末に導入されているエージェントソフトウェアの更新は不要であると説明されている。同社が公開したリリースノートによれば、バージョン2025.4、2026.1、2026.2、2026.3、ならびに各2026.3.1ホットフィックスから最新ビルドへの直接アップグレードパスが用意されている。

5週間で4度のホットフィックスが続く異例の経緯

N-centralの2026.3系列では、8月以降に脆弱性の修正が短期間で繰り返されている。

• Hotfix 1（ビルド 2026.3.1.7、8月2日公開）：過去の欠陥の不完全な修正に起因する認証バイパスおよびアカウント乗っ取りの脆弱性（CVE-2026-18577）に対処。実際の攻撃環境での悪用が確認されていた。
• Hotfix 2（ビルド 2026.3.1.10、8月6日公開）：関連する攻撃経路に対する追加の防御強化を実施。
• Hotfix 3（ビルド 2026.3.1.13、9月5日公開）：アクセス制御フィルターを通じた内部APIへの不正アクセスを許す「CVE-2026-86206」（CVSS 6.9）と、内部専用APIにおける認証バイパスの脆弱性「CVE-2026-86207」（CVSS 7.7）の2件に対処。
• Hotfix 4（ビルド 2026.3.1.14、9月6日公開）：今回のCVE-2026-86218に対処。

N-ableはHotfix 3で修正した2件について、未認証の攻撃者が認証制御を回避してプラットフォームへの完全なアクセス権を取得し得る「高深刻度の欠陥」と説明していた。しかし、その公開から半日も経たないうちに、それらとは無関係とされる今回のCVE-2026-86218に対応するため、Hotfix 4が急遽リリースされる事態となった。

悪用状況を巡る社内情報の食い違い

今回の脆弱性が実際にサイバー攻撃で悪用されているかどうかについて、N-ableの公式発表の間で説明が分かれている。

Hotfix 4のリリースノートおよびステータスページの投稿では、脆弱性はセキュリティ開示プログラムを通じて第三者から責任を持って報告されたものであり、「本番環境で悪用されたという確認は得られていない」と記載されている。一方で、同じリリースノート内では詳細な定義を示さないまま「重大なゼロデイ脆弱性」とも表現されている。

他方で、同社の稼働状況ステータスページ（uptime.n-able.com）に掲載されたインシデント通知では異なる説明がなされている。通知によると、過去のCVEとは無関係の新たな脆弱性が別の独立したセキュリティ研究者から報告されたとした上で、以前の脆弱性とは異なり、今回の欠陥については「野生下で悪用されているのが観測された」と明記されている。ただし、誰が、どこで、いつ悪用を確認したのかという具体的な情報や、攻撃者グループの特定に関する言及はない。

9月7日時点でもステータスページ上でこのインシデントは「オープン（対応中）」のままとなっており、報道機関のThe Hacker NewsはN-ableに対し、どちらの記述が最新かつ正確であるか、どのような悪用の証拠を把握しているかについて確認を求めている。

セキュリティ企業の調査状況と推奨される緩和策

8月からN-centralを狙った攻撃を追跡している米セキュリティ企業のHuntressは、9月4日にパッチ適用済みだった顧客の本番環境が侵害されたことを受けて調査を開始した。同社はビルド2026.3.1.10に対して概念実証（PoC：脆弱性が悪用可能であることを示す実証コード）のエクスプロイトチェーンを再現することに成功しており、Hotfix 3で修正された2つの欠陥のいずれか、または両方が使われた可能性があるとしている。しかし、該当機器のログがすでにローテーション（上書き更新）されていたため、今回のインシデントで新脆弱性（CVE-2026-86218）が悪用されたかどうかは手元のデータからは断定できないと述べている。

公式のリリースノートや通知には、具体的な侵害指標（IoC：攻撃の痕跡を示す識別情報）や暫定的な回避策は示されておらず、管理者に対して不審なユーザーがいないかアカウントを監査するよう呼びかけるにとどまっている。

こうした状況を受け、Huntressは管理者に対し、IPアドレスの許可リストやVPNを用いて管理コンソールへのアクセスを制限することを推奨している。また、インターネットから直接アクセス可能な状態にあるサーバーについては、最新のホットフィックスを適用するまでの間、一時的にネットワークから切り離してオフラインにすることも検討すべきだと助言している。