N-able N-centralの認証バイパスCVE-2026-18577 - 不完全な修正がRMMを踏み台にした攻撃と対応手順

管理ツールが乗っ取られると、そのツールが管理しているすべての端末が同時に危険にさらされます。RMM(Remote Monitoring and Management、リモート監視・管理)はまさにそういう製品です。そして2026年8月、MSP(マネージドサービスプロバイダ)が広く使うN-able N-centralで、未認証の攻撃者が管理者権限を奪える脆弱性CVE-2026-18577が実際の攻撃に使われました。

さらに厄介なのは、この脆弱性が直前に修正されたはずのCVE-2026-18556の「不完全な修正」から生まれたという点です。一度パッチを当てた組織も、もう一度当て直す必要がありました。しかもそのやり直しは1回では終わらず、8月6日に2つ目のホットフィックスが出ています。

本記事では、N-ableの公式ステータスページとリリースノート、NVD、CISA KEVカタログのJSONデータ、そしてSophosやHuntressの解析という一次〜準一次情報をもとに、何が起きたのか、どこまでが確認済みで、運用者が今何をすべきかを整理します。

概要(まず結論)

CVSSベクタで目を引くのはAC:H(攻撃条件の複雑さが高い)です。認証バイパスとしては珍しく攻撃難度が高めに評価されており、そのぶんCVSS基本値は9点台に届いていません。それでも実際には8月1日から悪用が始まっていたわけで、スコアの数字だけで優先度を決めるとこの手の事案を取りこぼします。CVSSは「理論上の危険度」、KEVは「現実に起きているかどうか」であり、判断材料としての性質がまったく違います。

なお、CVSS v4.0のベクタ末尾に付いているE:Aは「Exploit Maturity: Attacked」、つまり攻撃が実際に観測済みであることをスコアに織り込んだ表記です。

何が起きたか(タイムライン)

N-ableの公表内容とCISA KEVカタログを突き合わせると、経過は次のようになります。

検知から最初のホットフィックスまで2日、そこからさらに4日で2本目という慌ただしさです。ベンダー側が攻撃者の手口の変化を追いながら防御を継ぎ足していった様子が、リリースの間隔にそのまま表れています。N-ableはHotfix 2の告知で「脅威アクターが攻撃手法を進化させていることの継続的な監視に対応して、保護を先回りして拡張している」と説明しています。

CISAが単一のCVEだけを追加する「CISA Adds One Known Exploited Vulnerability to Catalog」というアラートを8月3日に出した点も、この件の緊急性を物語っています。CISAはBOD 26-04に基づき、連邦民間行政機関に対してわずか3日という是正期限を課しました。

なお、二次情報のなかには「Hotfix 1のリリースは8月1日」「8月3日」と読める記述もあります。本記事はN-able公式ステータスページの投稿日(Hotfix 1が8月2日、Hotfix 2が8月6日)を採用しました。

技術的な中身: 「不完全修正」というパターン

CVE-2026-18577のCWE分類はCWE-288、代替パスまたはチャネルを用いた認証バイパスです。これは正規のログイン処理とは別のルートから、認証チェックを通らずに保護された機能へ到達できてしまうという欠陥を指します。先行するCVE-2026-18556もまったく同じCWE-288で、影響範囲は2026.1までとされています。

つまり構図はこうです。

1. まずCVE-2026-18556として、あるバイパス経路が塞がれた。
2. ところがその修正は「その経路の入口」だけを塞ぐものだった。
3. 攻撃者は同じ保護対象へ到達する別の代替パスを見つけ、CVE-2026-18577として悪用した。

CWE-288の脆弱性が不完全修正で再発するのは、実装上ありがちな話です。認証チェックがルーティング層やミドルウェアの一点で行われていれば話は単純ですが、URL正規化、リバースプロキシとアプリの解釈差、内部APIへの直叩き、レガシー互換のエンドポイントなど、「保護対象に至る道」は往々にして複数あります。個々の道を見つけ次第塞ぐアプローチだと、いたちごっこになります。

認証バイパスの内部的な実装詳細、具体的なリクエストの形、PoCの公開状況については、N-ableも解析各社も公開しておらず、本記事執筆時点では一次情報として確認できていません(未確認)。

管理コンソールの認証が破られると一気に管理者権限まで通ってしまう構図は、Check Point SmartConsoleの認証バイパスCVE-2026-16232やVMware vCenterの認証バイパスとRCEでも同じでした。製品カテゴリは違っても、「管理基盤の認証」は攻撃者にとって最も費用対効果の高い標的であり続けています。

攻撃チェーン: 管理コンソールから管理下端末へ

この事案で本当に怖いのは、脆弱性そのものよりもそのあとに何ができるかです。N-centralはMSPが顧客のサーバ、ワークステーション、ネットワーク機器をまとめて管理するための基盤で、管理下端末に対して極めて強い権限を持っています。

SophosとHuntressの解析、およびN-ableの説明を突き合わせると、観測された攻撃の流れは次のとおりです。

1. 初期侵入: CVE-2026-18577で認証をバイパスし、N-centralコンソールの管理者権限を取得する。
2. 偵察: nltest /dclist、net group "domain admins" /domain、Microsoft DefenderやSophos製品を絞り込むtasklistなどを実行し、ドメインコントローラなどの重要資産を特定する。
3. 横展開: N-central標準機能のTake Control(リモート制御)を使って、管理下端末へ正規の経路でリモートセッションを張る。Sophosの事例では、バックアップサーバ、ドメインコントローラ、アプリケーションサーバといった高価値ホストが狙われました。
4. 永続化: Cloudflare Tunnel(cloudflared)をWindowsサービスとして登録する。アウトバウンド接続なので受信側のファイアウォールルールを追加する必要がなく、再起動も生き延びます。N-ableは「N-centralからのアクセスを遮断した後もアクセスが維持された」と述べています。
5. 権限維持: 新規ドメインアカウント(Sophosの事例ではveeamという名前)の作成、既存のドメイン管理者アカウントのパスワードリセット。
6. 多重化: AnyDesk、TeamViewer、RustDesk、SimpleHelp、HopToDesk、TacticalRMMといった正規のリモート管理ツールを複数投入し、1つ潰されても残る構成にする。
7. 防御回避: SophosはPhantomKillerと呼ばれるEDR回避ツールがC:\ProgramData\AnyDesk配下のk.sysドライバを読み込み、sophosfilescanner.exeを停止させたと報告しています。

ここで注目すべきは、3以降のほとんどが「正規機能の悪用」だという点です。Take Controlは本来の運用で日常的に使われる機能ですし、cloudflaredもRMMツール群も正規のソフトウェアです。マルウェア検知の網にはかかりにくく、「誰が、いつ、どの端末に、どういう理由でつないだか」という運用側の文脈がなければ異常と判定できません。

Huntressはこの攻撃を「無差別なキャンペーンではなく、標的を絞ったもの」と評価しています。ドメインコントローラを優先的に狙う偵察の進め方から、攻撃者が戦略的に動いていたと分析されています。

なお、cloudflaredのバイナリはMicrosoftEdgeUpdate64.exeやmsmp.exeにリネームされていた例、ユーザーのドキュメントフォルダにsvchost.exeが置かれていた例が報告されています。ファイル名だけを見て正規プロセスと判断すると見落とします。

影響範囲と修正バージョン

重要なのは、Hotfix 2はHotfix 1を置き換えるものであり、Hotfix 1適用済みでも必須だという点です。N-ableは「すでに以前のホットフィックスを適用済みでもHotfix 2は必要」と明記しています。8月2日に対応を終えて安心していた組織が、4日後にもう一度作業を求められた形です。

エージェントのアップグレードはCVE-2026-18577の防御には必須ではないものの、ホットフィックス適用後に実施することが推奨されています。またHotfix 1のリリースノートには、Windowsエージェントのインストーラサイズが90MBから180MBへ増えたため、帯域を考慮して展開を分散させるようにという注意書きもあります。

Huntressが観測したパッチ適用状況の推移は示唆的です。同社の8月3日午前0時45分(米東部時間)時点の更新では、到達可能なクラウドサーバの55.6パーセントが未適用、到達可能なサーバ全体では約13.6パーセントが未適用、セルフホストのサーバに限ると28.6パーセントが未適用でした。同日午後2時15分の更新では「クラウドホスト版はほぼすべて適用済み」となっています。ベンダーが一括で面倒を見るクラウド版は半日で片付いた一方、セルフホスト版は取り残されたという、SaaSとオンプレの違いがそのまま数字に出ています。

悪用状況とCISA KEV

CISA KEVカタログのJSONから、2件のエントリを整理します。

両方ともKEVの要求アクションはBOD 26-04に沿った対応で、CISAの「Forensics Triage Requirements」への準拠も求められています。単にパッチを当てるだけでなく、侵害されていないかの確認まで含めて要求されている点が、従来のBOD 22-01時代の文言との違いです。

被害規模について、N-ableは「限られた数の顧客が影響を受けたと特定され、それぞれと直接やり取りしている」とだけ述べており、具体的な件数は公表していません(未確認)。Sophosは自社のテレメトリで1組織の侵害を確認したと報告しています。攻撃者の身元や動機についても、公開情報では確認できていません(未確認)。

同時期のKEV追加案件としては、Langflowの未認証RCE CVE-2026-9198が8月4日に追加されており、実はその同じアラートでCVE-2026-18556も一緒に載っています。

侵害確認: どこを見るか

パッチを当てただけでは終わりません。8月1日以降にインターネットへ露出していたN-centralサーバは、すでに侵害されている前提で確認する必要があります。

• UIアクセスログ(ui_access_control.log)に、見覚えのない送信元からの管理者ログインがないか。
• 管理者アカウントの新規作成、権限昇格、パスワードリセットの記録。
• Take Controlセッションの履歴。特に、チケットや作業記録と紐づかないセッション、深夜帯のセッション、ドメインコントローラへのセッション。
• 製品内蔵のサポートアカウント(MSP Support)の利用記録。

• C:\ProgramData\GetSupportService_N-Central\Logs\ 配下のBASupSrvc_*.log.gz。Take Controlの接続記録が残ります。
• イベントID 4102、8192、8193で、サポートアカウントによるセッションが記録されていないか。
• Cloudflaredという名前で登録されたWindowsサービス、およびリネームされたcloudflaredバイナリ。
• ユーザーのドキュメントフォルダ(%USERPROFILE%\Documents)に置かれたsvchost.exe。
• 導入した覚えのないリモート管理ツール(AnyDesk、TeamViewer、RustDesk、SimpleHelp、HopToDesk、TacticalRMM)。
• Active Directoryでの新規アカウント作成、ドメイン管理者のパスワードリセット。

Sophosが公開したドメインのIoCは次のとおりです。

who-ripped-one[.]direct[.]quickconnect[.]to
mousears[.]synology[.]me
wagoosh[.]direct[.]quickconnect[.]to
api[.]mendoratech[.]health

IPアドレスのIoCは、N-ableとSophosがそれぞれ9件程度を公開しています。ただし、公開元によって1オクテットが異なる表記(172.249.252.176と173.249.252.176)が見られるため、ブロックリストへ投入する際は必ずベンダーの原典から直接コピーしてください。本記事では正確性を担保できないため、個別のIPは列挙しません(表記揺れの正誤は未確認)。

N-ableはIoCを自動チェックするためのサービステンプレートも配布していますが、同社自身が「クリーンな結果が出たからといって、環境が影響を受けていないことの保証にはならない」と注意を促しています。自動チェックはあくまで出発点です。

対応手順

セルフホストのN-centralをビルド2026.3.1.10へアップグレードします。Hotfix 1(2026.3.1.7)適用済みでも必要です。ホスト版(NCOD)はN-ableが自動適用するため、利用者側の作業はありません。自社がどちらの形態かをまず確認してください。

即座に適用できない場合、N-centralコンソールへのアクセスを信頼できるネットワークに限定します。VPNや管理用の踏み台の背後に置き、インターネットからの直接到達を止めるのが基本です。ただしこれは緩和であって修正ではありません。

N-ableは、全アカウントへのMFA強制と、実際に必要な場合を除いた製品内サポートアカウントの無効化を推奨しています。侵害が疑われる場合は、N-central上の管理者資格情報だけでなく、管理下端末のローカル管理者とドメイン管理者の資格情報も対象です。攻撃者はTake Control経由でそこまで到達しています。多要素認証の基礎や設計思想についてはパスキーとWebAuthnの解説もあわせてどうぞ。

N-central上のユーザーアカウント一覧を洗い、身に覚えのない管理者、想定外の権限付与がないかを確認します。あわせてAPIキーや連携用トークンも点検してください。

前節のチェックポイントに沿って、N-centralサーバだけでなく管理下端末まで調査範囲を広げます。cloudflaredによる永続化はN-central側のアクセスを遮断しても残るため、「サーバを直したから終わり」にはなりません。ログとディスクイメージは封じ込め操作の前に保全してください。

N-centralを使って顧客環境を管理している立場なら、自社の侵害はそのまま顧客の侵害です。調査結果と対応状況を顧客へ共有する準備が要ります。国内のインシデント対応の実例や公表のされ方は2026年の主要セキュリティインシデントまとめも参考になります。

N-centralがKEVに載るのは初めてではない

N-able N-centralは2025年にもKEVへ登録されています。CISA KEVカタログのJSONを検索すると、次の記録が確認できます。

ちょうど1年おきに、しかも同じ8月にKEV入りしている格好です。2025年の2件はいずれも「PR:L」、つまり低権限の認証済みユーザーを必要とするものでした。今回の2件は未認証で成立するため、攻撃の敷居はさらに下がっています。

RMM製品を選定・運用するうえでは、この種の履歴を「ベンダーが不誠実」と読むのではなく、攻撃者が継続的にこのカテゴリを狙っているという事実として受け止めるほうが実用的です。

RMMを狙う攻撃という構造

MSPのRMM基盤が狙われる理由は単純です。1つ落とせば下流の全顧客に手が届くからです。攻撃効率の観点で、これ以上の標的はそう多くありません。

最も有名な事例が2021年7月のKaseya VSAです。CISAとFBIは7月2日にサプライチェーン型ランサムウェア攻撃として注意喚起を出し、REvilがVSAの脆弱性を悪用して、多数のMSPとその顧客企業へランサムウェアを配布しました。7月4日の独立記念日連休の直前という、IT部門の目が最も薄くなるタイミングが選ばれています。攻撃者はVSAの正規の配布機能を使ってペイロードを押し込みました。今回のTake Control悪用とまったく同じ発想です。

RMMに限らず、多数の環境へ一括で影響を及ぼせる中間層は繰り返し標的になります。npmパッケージのサプライチェーン攻撃や、管理基盤にハードコードされた資格情報が問題になったCisco FMCのCVE-2026-20316も、根っこは同じ「一点突破で広く波及する構造」です。

この構造を前提にすると、RMMの運用で押さえるべき点は次のように整理できます。

• 管理コンソールをインターネットへ直接出さない。VPNや認証プロキシの背後へ置く。パッチ適用の遅れが即座に致命傷にならない構成にしておくことが、脆弱性そのものへの対処より効きます。
• リモート制御機能に運用上の統制をかける。誰がいつどの端末へつないだかを記録し、チケットと突き合わせる。Take Controlのような機能は、技術的に止められないぶん監査で見るしかありません。
• RMMのアカウントにMFAを例外なく強制する。サポート用の共有アカウントは特に危険で、今回もサポートアカウント経由のセッションが痕跡として挙がっています。
• 管理下端末側でも検知を持つ。RMMが正規に配布したものとして入ってくる以上、RMMサーバの外側にEDRなど独立した目が必要です。
• アウトバウンドを監視する。cloudflaredのようなトンネルは受信ポートを開けないため、境界の受信側だけを見ていると気づけません。

まとめ

CVE-2026-18577は、N-able N-centralにおけるCWE-288の認証バイパスで、CVE-2026-18556に対する不完全な修正から生まれました。CVSSはv3.1で8.1、v4.0で8.2。2026年8月1日から実悪用が観測され、8月3日にCISA KEVへ追加、是正期限は8月6日でした。

• 今すぐ確認: セルフホストのN-centralのビルド番号。2026.3.1.10より前なら対象です。Hotfix 1の2026.3.1.7も置き換え対象です。
• 修正: 2026.3 Hotfix 2(2026.3.1.10)を適用する。ホスト版は自動適用済み。
• 緩和: 適用までコンソールへのアクセスを信頼できるネットワークへ限定する。
• 侵害確認: UIアクセスログ、Take Controlセッション履歴、管理下端末のCloudflaredサービスと不審なsvchost.exe、新規ドメインアカウントと管理者パスワードのリセットを点検する。N-centralサーバを直しても、端末側の永続化は消えません。
• 再発防止: 全アカウントへのMFA強制、サポートアカウントの無効化、管理コンソールの非公開化。

認証バイパスの内部的な仕組み、攻撃者の身元、被害組織の正確な数は一次情報で確認できなかったため、本文で「未確認」と明示しました。確定情報は必ずN-ableのステータスページとCISA KEVカタログでご確認ください。認証設計そのものの基礎を押さえ直したい場合は、OAuth 2.0とOpenID Connectの認可フロー解説もどうぞ。

参考リンク

• N-able Status: N-central 2026.3 Hotfix 1 - Mitigation for CVE-2026-18577
• N-able Status: N-central 2026.3 Hotfix 2 - Additional Mitigation for CVE-2026-18577
• N-able: N-central 2026.3 HF1 リリースノート
• N-able Status: Release Notes 一覧
• NVD: CVE-2026-18577
• NVD: CVE-2026-18556
• CVE.org: CVE-2026-18577
• Tenable: CVE-2026-18577
• CISA: Adds One Known Exploited Vulnerability to Catalog(2026年8月3日)
• CISA: Known Exploited Vulnerabilities Catalog
• CISA: BOD 26-04 Prioritizing Security Updates Based on Risk
• Rapid7: CVE-2026-18577 N-able N-central Authentication Bypass Exploited in the Wild
• Huntress: Critical N-able N-central Vulnerability and Active Exploitation
• Sophos: N-able N-central exploitation results in RMM tool deployment
• Beazley Security: N-central Authorization Bypass exploited in the wild (CVE-2026-18577)
• Help Net Security: Attackers exploit N-able N-central flaw to reach managed endpoints
• Help Net Security: N-able ships second N-central hotfix as attackers keep exploiting CVE-2026-18577
• The Hacker News: N-able Issues N-central Hotfix 2 as Attackers Reach Managed Systems and Persist
• NVD: CVE-2025-8875
• NVD: CVE-2025-8876
• CISA: Kaseya VSA Supply-Chain Ransomware Attack(2021年7月2日)
• CISA: Kaseya Ransomware Attack - Guidance for Affected MSPs and their Customers