【緊急】N-able N-central CVE-2026-18577：修正版への緊急更新 — 認証バイパスによる管理者権限奪取、攻撃を実際に確認

N-able社のリモート監視・管理（RMM）ソリューション「N-able N-central」において、認証バイパスの脆弱性（CVE-2026-18577）が発見されました。この脆弱性は、すでに広範囲で攻撃に悪用されていることが確認されており、米CISA（サイバーセキュリティ・インフラセキュリティ庁）は既知の悪用されている脆弱性（KEV）カタログに追加し、緊急の対応を呼びかけています。N-able N-centralの管理者権限が奪取され、管理下のエンドポイントが侵害される恐れがあるため、該当するすべてのユーザーは直ちに修正版への更新が必要です。

今すぐ行う対策

• ✓N-able N-centralをバージョン 2026.3.1.7 ホットフィックスへ緊急更新する。
• ✓更新が完了するまで、N-central環境の隔離を検討し、潜在的な侵害の兆候を徹底的に確認する。
• ✓多要素認証（MFA）を強制し、ユーザーアカウントのアクセス権限を定期的に監査する。
• ✓N-centralサーバーおよび管理下のエンドポイントで、不審なログイン、アカウント変更、ジョブや自動化の変更、Take Controlセッションの履歴を監視・確認する。

脆弱性の概要と影響範囲

CVE-2026-18577は、以前に修正された脆弱性（CVE-2026-18556）に対するパッチが不完全であったために生じた認証バイパスの脆弱性です。この欠陥を悪用することで、リモートの攻撃者がN-able N-centralの認証機構を迂回し、管理者権限を取得することが可能となります。影響を受けるのは、N-centralのバージョン2026.3.1.7より前のすべてのバージョンです。 攻撃が成功すると、攻撃者はN-centralコンソールに対する「God-mode」の制御権を得て、管理対象のサーバーやワークステーション（ドメインコントローラーなどの重要システムを含む）にスクリプトをプッシュしたり、ツールを展開したり、リモートコントロールセッションを開始したりする可能性があります。

具体的な影響・攻撃シナリオ

この脆弱性を悪用した攻撃では、攻撃者はN-centralサーバーにリモートから管理者アクセス権を獲得します。その後、「Take Control」機能を利用して、N-centralが管理する顧客環境内のシステムに接続します。実際に確認された攻撃では、侵害されたデバイス上でCloudFlareトンネルの新しいサービスを登録し、N-centralサーバーへのアクセスが取り消された後も環境への永続的なアクセスを可能にしていたとのことです。 このタイプの脆弱性は、悪意のあるサイバー攻撃者にとって頻繁な攻撃ベクトルであり、連邦政府機関にとっても重大なリスクをもたらすとCISAは指摘しています。

主要ディストリビューション別の影響

N-able N-centralサーバーはAlmaLinux 9のカスタムディストリビューション上で動作しますが、本脆弱性はOSカーネルやOSSミドルウェア自体ではなく、N-centralアプリケーション層の認証機構の不備に起因します。しかし、Huntressは、AlmaLinuxベースのRMMアプライアンス環境ではEDR（Endpoint Detection and Response）ソフトウェアが導入されていないことが多いと指摘しており、RMM経由でシステムに侵入された後の攻撃検出が遅れる可能性があると警鐘を鳴らしています。

対応手順と確認方法

N-ableは、N-central 2026.3.1.7 ホットフィックスをリリースしており、すべての顧客に対し直ちにこのバージョンへアップグレードするよう強く推奨しています。 アップデート後も、セキュリティベストプラクティスとして、定期的なパッチ適用、多要素認証の実施、ユーザーアクセス監査、異常なアクティビティの監視を継続することが重要です。 侵害の兆候を確認するため、ログ分析やネットワークトラフィックの監視も強化してください。

参考ソース・公式パッチ情報