CISA KEV 警告 26/09/08：N-able N-central の脆弱性 CVE-2026-86218 を登録

CISA Warns of N-able N-central RCE Vulnerability Exploited in the Wild

2026/09/09 CyberSecurityNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、N-able の N-central リモート監視／管理プラットフォームに影響する深刻な脆弱性 CVE-2026-86218 を Known Exploited Vulnerabilities (KEV) カタログに追加したと公表した。これにより、攻撃者が実環境の標的に対して、この脆弱性を積極的に悪用していることが確認された。

脆弱性 CVE-2026-86218 (CVSS：10.0) は、未認証でのリモートコード実行 (RCE) を可能にするものであり、Managed Service Provider (MSP) のエコシステムに影響を及ぼす多様な脆弱性の中で、最も危険な欠陥として挙げられるものだ。CISA は CVE-2026-86218 を、CWE-96 に関連する静的コード・インジェクションの脆弱性に分類している。この脆弱性を悪用する攻撃者は、N-central サーバ上に静的に保存されるコードに対して、悪意の指示を注入する機会を得る。

N-able N-central の RCE 脆弱性

この脆弱性の悪用には認証およびユーザー操作が不要であるため、外部公開された N-central インスタンスに対してネットワーク経由で到達できる攻撃者であれば任意のコマンドを実行し得る。その結果、N-central 自体だけでなく、MSP が同プラットフォームを通じて管理するすべての下流のエンドポイントへ侵入する足掛かりを得られる可能性がある。

この脆弱性は、すべてのオンプレミス N-central バージョン 2026.3.1.14 未満に影響を及ぼし、対象となるリリース系列は 2025.4／2026.1／2026.2／2026.3 であるほか、以前に Hotfix を適用しているシステムも含まれる。これに対し、N-able は 2026年9月5日から6日にかけて N-central 2026.3x 向けの Hotfix 4 をリリースし、オンプレミスの導入環境をビルド 2026.3.1.14 へ更新している。同社にとっては、この 5 週間で 4 件目の緊急 Hotfix となる。

それより以前に提供された脆弱性 CVE-2026-86206／CVE-2026-86207 に対する修正は、別の認証バイパス／RCE に対処するものである。一方、ホスト型 N-central を利用する顧客に対しては N-able によるサーバ側でのパッチ適用が行われているが、オンプレミス環境の管理者には直ちにアップグレードすることが求められる。

N-able は当初、本番環境での悪用を確認していないとしていたが、Huntress の調査は異なる状況を示しており、少なくとも 1 社の N-central インスタンスがパッチ提供の 2日前となる 9月4日に侵害されたと報告している。こうした状況を受け、CISA は 2026年9月8日に、この脆弱性を KEV カタログへ追加した。

Binding Operational Directive 26-04 (BOD 26-04) に基づき、影響を受ける N-central インスタンスを運用する Federal Civilian Executive Branch (FCEB) 機関は、2026年9月11日までに緩和策を適用する必要がある。

また、CISA はパッチ適用前に外部公開されていたことが判明したすべてのシステムに対してフォレンジック・トリアージを実施するよう求めている。さらに同指令では、クラウド・サービスについて BOD 26-04 のガイダンスに従うこと、および期限内に緩和策を適用できない場合には製品の使用を完全に中止することが、各機関に指示されている。

N-central は数千の下流ネットワークを管理する MSP の間で広く使用されており、侵害された RMM サーバは管理対象となる顧客環境全体へ侵入するための単一の入口として悪用される可能性がある。

そのため、セキュリティチームは今回の問題を通常のパッチ適用サイクルとしてではなく、組織全体で緊急に対応すべき優先事項として扱う必要がある。管理者にはオンプレミスのインスタンスを直ちに 2026.3.1.14 へアップグレードした上で、N-central サーバのインターネットへの公開状況を監査し、9月初旬まで遡って侵害の兆候がないか確認することが求められる。

リモート管理環境の安全性を脅かす深刻な問題について解説する記事です。N-able N-central において、外部からの不正なコード実行を許してしまう重大な不具合である CVE-2026-86218 が確認されました。この問題は、管理サーバーの制御奪取／管理下の機器群への被害拡大／運用網全体の侵害リスクという極めて大きな影響を及ぼします。すでに実環境での悪用が認められたことから、CISA KEV カタログにも指定されました。迅速な被害防止対策として、システム管理者によるオンプレミス環境のビルド 2026.3.1.14 への緊急アップデート／公開状況の厳密な確認／過去のログに基づく侵害兆候の精査が強く求められます。