N-able N-centralの認証回避CVE-2026-18577が悪用、管理下端末へ侵入しCloudflare Tunnelでアクセス維持

N-ableは2026年8月2日付の公式ブログで、リモート監視・管理(RMM)製品N-centralの認証回避脆弱性CVE-2026-18577が実際の攻撃で悪用されていると公表しました。攻撃者は脆弱なN-centralへ遠隔から管理者アクセスを取得し、遠隔操作機能であるTake Controlを利用して、N-centralが管理するWindows端末へ接続していました。

攻撃を受けた端末では、Cloudflare Tunnel用のサービスが登録されていました。このトンネルによって、攻撃者はN-central Serverへのアクセスを遮断された後も、管理対象環境への接続を維持できる状態を作っていました。N-ableは影響を確認した顧客数を限定的としていますが、RMM製品を起点として管理下の端末へ攻撃が波及した点は重大です。

CVE-2026-18577は、以前の認証回避脆弱性CVE-2026-18556に対する修正が不完全だったことに起因します。N-ableはN-central 2026.2で当初の攻撃経路を修正していましたが、その後の調査で別の経路から同じ問題を悪用できることが判明しました。修正版は緊急修正プログラムのN-central 2026.3 Hotfix 1(ビルド2026.3.1.7)です。CISAも8月3日に本脆弱性を既知の悪用が確認された脆弱性カタログ(KEV)へ追加し、米連邦民間行政機関へ8月6日までの対応を求めています。

CVE-2026-18577の全体像

N-centralとは

N-centralは、マネージドサービスプロバイダー(MSP)や企業のIT部門が、複数の顧客・拠点・端末を一元的に監視、管理するためのRMMプラットフォームです。端末状態の監視、パッチ管理、スクリプト実行、リモート操作、セキュリティ製品の管理などを中央から実施できます。

こうした管理基盤には、多数の端末へ操作を行うための高い権限と接続機能が集約されています。そのため、N-central Server自体が侵害されると、単一サーバーの乗っ取りにとどまらず、その配下で管理される複数の顧客環境や端末へ攻撃が広がる可能性があります。

今回の攻撃では、このリスクが現実のものとなりました。攻撃者はN-centralの管理者アクセスを取得した後、正規の遠隔操作機能であるTake Controlを使い、管理対象となっている端末へ接続していました。RMMの管理通信は通常業務でも使用されるため、不正な操作が正規の保守作業に紛れやすい点にも注意が必要です。

不完全だったCVE-2026-18556の修正

CVE-2026-18577を理解するには、先に修正されたCVE-2026-18556との関係を確認する必要があります。CVE-2026-18556は、認証されていない攻撃者がN-centralの管理者アカウントを乗っ取れる認証回避脆弱性です。N-ableはこの問題をN-central 2026.2で修正しました。

しかし、2026年7月31日、N-ableはオンプレミス版N-centralの顧客でライセンス関連の問題が通常より多く発生していることを確認しました。ライセンス問題自体は珍しくないものの、件数が多かったため、エンジニアリングチームとセキュリティチームが調査を開始しました。

8月2日の調査で、CVE-2026-18556の修正では遮断できていない別の攻撃経路が発見されました。N-ableはこの問題を新しいCVE-2026-18577として登録し、同日中にN-central 2026.3 Hotfix 1を公開しました。

重要なのは、N-central 2026.2へ更新済みであっても、CVE-2026-18577からは保護されないことです。また、Hotfix適用前のN-central 2026.3も影響を受けます。安全な基準はバージョン名だけではなく、修正済みビルドの2026.3.1.7以上であることです。

公表までの時系列

N-ableの公表では、ライセンス関連問題の増加が調査開始のきっかけになりました。ただし、ライセンスエラーが発生したN-central Serverのすべてが侵害されたという意味ではありません。反対に、ライセンスエラーがなかったことも未侵害の証明にはなりません。侵害判断には、公開IoC、N-centralのアカウント活動、Take Controlの利用履歴、管理下端末の痕跡を組み合わせる必要があります。

CISAの8月6日という期限は、拘束力を持つ運用指令の対象となる米連邦民間行政機関向けです。民間企業や日本の組織に同じ法的期限が適用されるわけではありませんが、実悪用が確認され、RMMから管理下端末への波及も起きているため、実務上は同期限を待たずに対応するべき状況です。

CVSS 8.2でも実務上の影響が大きい理由

N-ableが付与したCVSS v4.0の基本値は8.2で、深刻度はHighです。Criticalではありませんが、今回のリスクをCVSSの数字だけで低く評価すべきではありません。

CVSSベクターでは、攻撃はネットワーク経由で実行でき、事前の権限や利用者の操作を必要としません。一方、攻撃複雑度はHighと評価されています。脆弱性の直接的な影響は主にN-central上の機密性に設定されていますが、後続システムへの影響として機密性、完全性、可用性が考慮されています。

実際の攻撃では、攻撃者は管理者アクセスを取得した後、N-centralの正規機能を通じて配下の端末へ接続しました。つまり、脆弱性の直接的な影響だけでなく、RMMが持つ管理権限を踏み台にした後続被害まで評価する必要があります。

確認された攻撃の流れ

N-ableが公表した範囲では、攻撃は次の流れで進んでいました。

• N-centralへの侵入:CVE-2026-18577を悪用し、遠隔からN-centralの管理者アクセスを取得
• 管理下端末への接続:N-centralに組み込まれたTake Controlを利用して、管理対象環境内の端末へ接続
• トンネルの登録:接続した端末へCloudflare Tunnel用のサービスを登録
• アクセスの維持:N-central Server側で攻撃者のアクセスを無効化した後も、作成したトンネルを通じて端末への接続を維持

Cloudflare Tunnelやcloudflaredは、内部サービスを外部へ安全に公開する目的でも使用される正規の製品です。今回の問題はCloudflareの脆弱性ではなく、攻撃者が正規ツールを不正な接続経路として利用したものです。環境内にCloudflaredサービスが存在するだけで侵害と断定せず、導入経緯、サービス登録時刻、実行ファイルの保存場所、接続先、関連アカウントを確認する必要があります。

Huntressも独自にCVE-2026-18577の悪用を確認しています。当初は自社顧客基盤の1組織での観測としていましたが、8月3日の更新では複数組織への攻撃を確認したと説明しました。一方、同社は現時点で、パートナー全体を無差別に狙う広範なキャンペーンへ発展した証拠までは確認していないとしています。

影響するバージョンと修正版

N-ableの最新のインシデント報告では、ビルド2026.3.1.7より前のすべてのN-central Serverが影響対象です。NVDの記載ではN-central 2026.3.1までが影響すると表現されていますが、製品運用ではN-ableが明示するビルド番号を基準にしてください。

2025.4、2026.1、2026.2、2026.3からは、2026.3.1への直接アップグレードがサポートされています。それより古いバージョンでは、N-ableが案内するアップグレード経路に従い、対応する中間バージョンを経由してからHotfixを適用します。

今回のHotfixはN-central Server側の脆弱性を修正するため、保護を有効にする目的で管理下端末のエージェントを同時に更新する必要はありません。ただし、N-ableは最新機能とセキュリティ修正を適用するため、Hotfix導入後にエージェントも更新することを推奨しています。

N-ableが公開した侵害痕跡

N-ableは、今回の攻撃に関連する既知の侵害痕跡(IoC)を公開しています。次の情報が見つかった場合は、N-ableサポートと自組織のセキュリティ担当者へ連絡し、インシデント対応を開始するよう案内しています。

svchost.exeはWindowsにも存在するファイル名ですが、N-ableが示しているのは利用者のDocumentsフォルダーに配置されたファイルです。ファイル名だけで判断せず、保存場所、ハッシュ値、デジタル署名、作成時刻、実行履歴を確認してください。

Huntressは、N-ableが最初に公表した4つのIPアドレスがMullvadまたはNordVPNの出口ノードであると確認しました。特に87[.]249[.]138[.]34はNordVPN、37[.]19[.]210[.]32はMullvad VPNとの関連が確認されています。そのため、これらのアドレスから通信があったことだけで攻撃主体を特定したり、同じアドレスを利用するすべての通信を悪性と断定したりすることはできません。

ただし、該当IPからN-centralの管理画面やAPI、Take Controlの接続が確認された場合は、優先度の高い調査対象です。反対に、公開IPとの通信が見つからなかったことだけで安全とも判断できません。攻撃者はVPN出口や接続先を変更できるため、IPブロックは一時的・部分的な対策として扱い、アカウント、接続履歴、端末側の痕跡と組み合わせて確認してください。

専用検出テンプレートだけでは侵害を否定できない

N-ableは、管理下のWindows端末から既知のIoCを自動確認するための検出用カスタムサービステンプレートを公開しました。N-centralへ取り込むことで、今回確認された不審なファイルやサービスなどを管理対象端末から確認できます。

ただし、N-ableは、テンプレートで何も検出されなくても環境が侵害されていない保証にはならないと明記しています。このテンプレートが確認するのは、現時点で判明している特定のIoCだけです。攻撃者がファイル名、サービス名、接続先、ツールを変更している場合は検出できない可能性があります。

テンプレートは侵害調査の一つの手段として使用し、N-centralのログ、アカウント活動、Take Controlの接続履歴、管理下端末のプロセス・サービス・通信履歴、認証基盤のログなどと組み合わせて確認してください。

パッチ適用後も侵害調査が必要

Hotfixは新たな悪用を防ぐために必要ですが、すでに作成された不正アカウント、端末上のCloudflare Tunnel、その他の永続化手段を削除するものではありません。修正前のN-centralを外部から到達可能な状態で運用していた場合は、更新と侵害調査を別の作業として実施する必要があります。

確認すべき主な項目は次のとおりです。

• N-centralのビルド:サーバーが2026.3.1.7以上になっていることを確認
• ユーザーと権限:見覚えのない管理者、権限変更、パスワード変更、API利用者が追加されていないか確認
• 認証履歴:通常と異なる送信元、時間帯、アカウントからのログインや認証処理を確認
• Take Control:管理下端末への不審なリモート接続、接続先、実施時刻、操作したアカウントを確認
• 端末のサービス:Cloudflaredや見覚えのないサービス、タスク、スタートアップ項目を確認
• 不審なファイル:Documentsフォルダーのsvchost.exeを含め、作成された実行ファイルやスクリプトを確認
• ネットワーク通信:公開IoC、外部トンネル、未知の長時間接続、通常と異なる宛先への通信を確認
• 認証情報:侵害された可能性がある管理者、サービス、APIなどの認証情報を変更
• 管理対象全体:N-central Serverだけでなく、Take Controlで接続された可能性がある顧客・拠点・端末を調査

不審な活動を確認した場合は、対象を隔離し、証拠となるログやメモリ、ファイルを保全した上で、N-ableサポートと自組織のインシデント対応担当者へ連絡してください。Cloudflaredサービスだけを削除して調査を終了すると、別の永続化手段や漏えいした認証情報を見落とす可能性があります。

N-central Serverと管理下端末を分けて調査する

今回のインシデントでは、侵入の起点となったN-central Serverと、Take Controlを通じて接続された管理下端末の両方を調査する必要があります。N-central Serverだけを更新しても、端末側へ登録されたサービスや外部トンネルは残る可能性があります。一方、管理下端末だけを確認しても、N-central上に追加された不正な管理者や変更された権限を見落とします。

N-central Server側では、管理者アカウントの新規作成、権限変更、認証設定の変更、API利用者、通常と異なるログイン元、Take Controlの開始記録を優先して確認します。公開IoCのIPアドレスだけで絞り込まず、7月31日前後からHotfix適用までの期間を対象に、通常の管理作業と一致しない活動を調べてください。

管理下端末側では、N-ableが示したDocumentsフォルダーのsvchost.exeとCloudflaredサービスに加え、同時期に作成されたサービス、タスク、ローカルアカウント、実行ファイル、スクリプト、長時間継続する外部通信を確認します。Take Controlで実際に接続された端末を特定できた場合は、その端末を優先しつつ、同じ顧客や拠点内の他端末への横展開も確認してください。

Hotfix適用後に確認すること

更新作業では、インストーラーを実行したことだけで完了とせず、N-centralの画面やバージョン情報からビルド2026.3.1.7以上になっていることを確認します。複数のN-central環境を運用している場合は、開発・検証用を含むすべてのServerを資産一覧と突き合わせ、更新漏れを防いでください。

N-ableホスト型N-centralではN-ableが更新を適用しますが、利用者側でも通知内容と最終ビルドを確認する必要があります。自社運用型環境では、事前バックアップ、対応するアップグレード経路、保守時間、更新後のサービス状態、管理下端末との接続状態を確認してください。古いバージョンから直接Hotfixへ進めない場合は、N-ableのアップグレード経路に従います。

Hotfix適用後には、多要素認証、管理者ロール、外部公開範囲、接続元制限も再確認します。ただし、これらは脆弱性修正の代替ではありません。アクセス制限やWAFなどを使用していても、N-ableが提供する修正版への更新を優先してください。

実務上の推奨対応

N-centralを運用している組織は、次の順序で対応してください。

• 最優先:自社運用型環境をN-central 2026.3 Hotfix 1、ビルド2026.3.1.7へ更新する
• ホスト型環境:N-ableから通知された更新予定と、更新後のビルドを確認する
• IoC確認:N-ableのカスタムサービステンプレートを導入し、管理下のWindows端末を確認する
• 追加調査:検出結果にかかわらず、N-centralのユーザー、ログ、Take Control履歴、端末、ネットワーク通信を確認する
• 認証強化:多要素認証を有効化し、管理者権限と不要なアカウントを見直す
• 露出確認:N-centralの管理画面をインターネットへ直接公開する必要性を見直し、接続元制限や追加のアクセス制御を検討する
• 資格情報の変更:侵害の可能性がある場合は、攻撃者を排除した後に関連する管理者・サービス認証情報を変更する

CVE-2026-18577は、認証回避そのものに加えて、不完全な初回修正、実悪用、RMMから管理対象端末への波及、外部トンネルによるアクセス維持という要素が重なっています。Hotfixを適用したことだけで対応完了とせず、修正前に攻撃を受けていなかったかを確認することが重要です。

一次情報・公式情報

N-central Security Update – August 2, 2026(N-able、2026年8月2日)
N-central 2026.3 Hotfix 1 – Mitigation for CVE-2026-18577(N-able、2026年8月2日)
CVE-2026-18577 CVE Record
NVD CVE-2026-18577
CISA Adds One Known Exploited Vulnerability to Catalog(CISA、2026年8月3日)
CISA Known Exploited Vulnerabilities Catalog: CVE-2026-18577
CVE-2026-18577 Detection(N-able Developer Portal)
Upgrade N-central(N-able Documentation)
N-central Supported Upgrade Paths(N-able Documentation)

参考情報

Critical N-able N-central Vulnerability and Active Exploitation(Huntress、2026年8月3日更新)
N-able warns of N-central auth bypass flaw exploited in attacks(BleepingComputer、2026年8月3日)
N-able Says Attackers Take Over N-central Servers After Initial Fix Proves Incomplete(The Hacker News、2026年8月3日)