Trusted Design

CVE-2026-18577 の詳細

CVEの情報

説明:
An incomplete patch for CVE-2026-18556 allows for authentication bypass and account takeover in N-central Versions through 2026.3.1

CVE更新日: 2026-08-02 23:16:26.210000

CVSSバージョン: 4.0

CVSSスコア: 8.2

KEVの情報

KEV更新日: 2026-08-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.146220000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-18577について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-18577は、N-able N-centralのリモート監視および管理（RMM）プラットフォームにおける認証バイパスの脆弱性です。この脆弱性は、以前に開示されたCVE-2026-18556の不完全な修正に起因しており、攻撃者が認証を回避して管理アクセスを取得できる代替パスが存在します。これにより、リモートの認証されていない攻撃者がN-centralサーバーの管理権限を乗っ取ることが可能になります。この脆弱性はCWE-288（代替パスまたはチャネルを使用した認証バイパス）に分類されます。

1.1 影響

本脆弱性が悪用されると、認証されていないリモート攻撃者が脆弱なN-centralサーバーの管理制御を奪取できます。攻撃者は、正当な管理機能を利用して、管理対象のエンドポイント（サーバー、ワークステーション、ネットワークデバイスなど）を侵害し、設定変更のプッシュ、スクリプトの展開、ツールのデプロイ、リモート制御セッションの開始、永続的なアクセス（Cloudflareトンネルの登録など）の確立、さらにはランサムウェアの配信を行う可能性があります。 N-centralはMSPや企業ITチームによって広く利用されているため、本脆弱性の悪用は、多数のダウンストリーム組織へのサプライチェーン攻撃につながる可能性があります。

1.2 深刻度

CVSS v4.0の基本スコアは8.2（HIGH）と評価されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性を「既知の悪用されている脆弱性（KEV）カタログ」に追加しており、実環境での積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

N-able N-centralのバージョン2026.3.1.7（Hotfix 1）より前のすべてのN-centralバージョンが影響を受けます。 これには、2026.3のベースリリースも含まれます。 また、一部の情報源では、バージョン2026.3.1.10（Hotfix 2）より前のバージョン、または2026.3.1.14（Hotfix 4）より前のバージョンも脆弱であると指摘されています。

2.2 影響を受ける設定

N-able N-centralのオンプレミスデプロイメントが主な対象となります。N-ableがホストするN-central環境（NCOD）については、通常ベンダーによって自動的にアップグレードが適用されます。 脆弱なN-central管理インターフェースがネットワーク経由で到達可能な状態にある場合に影響を受けます。

3. 影響を受けた時の兆候

以下のような兆候が確認された場合、システムが侵害された可能性があります。

  • ユーザーのDocumentsフォルダーに「svchost.exe」という名前のファイルが存在する。
  • 「Cloudflared」という名前のWindowsサービスが登録されている。
  • 攻撃者に関連付けられた以下のIPアドレスとの接続。
    • 173.249.252.200
    • 87.249.138.37
    • 19.210.37.153
    • 90.92.118.112
    • 181.68.235.46
      1. (IPアドレスが不完全)
  • 攻撃後の活動として、Cloudflareトンネル（「Cloudflared」サービスとして偽装）の永続化、疑わしい実行可能ファイル（例：ユーザーのDocumentsフォルダー内のsvchost.exe）のデプロイ、「Take Control」ツールを介したリモートアクセスが確認されています。
  • 不審なドメインアカウント（例：「veeam」）の作成、既存の管理者アカウントのパスワードリセット、ユーザーアカウントやドメイン管理者を特定するためのコマンド実行。

4. 推奨対策

4.1 本対策

すべてのN-centralサーバーをバージョン2026.3.1.7（Hotfix 1）以降に直ちにアップグレードしてください。 N-ableは、CVE-2026-18577にさらに対応するための2番目のホットフィックスもリリースしています。 ベンダーがホストするN-central環境（NCOD）の顧客は、ベンダーからアップグレードスケジュールが通知され、現時点では顧客側でのアクションは不要です。

4.2 暫定回避策（緩和策）

パッチの適用が一時的に困難な場合、以下の緩和策が推奨されます。

  • N-central管理インターフェースへのネットワークアクセスを、信頼できる管理ネットワークまたはVPNの範囲にのみ制限します。
  • すべてのN-centralアカウントの資格情報、APIトークン、MFAシードをローテーションし、管理者アカウントとサービスアカウントを優先します。
  • 最近作成されたアカウント、権限の変更、スクリプト、自動化ポリシーについて、乗っ取りの兆候がないか監査します。
  • N-centralに強力な認証（シングルサインオン（SSO）および多要素認証（MFA）など）を適用します。
  • ログが保持され、インシデントレビューに役立つように保護されていることを確認します。
  • パッチ適用がすぐにできない場合は、サーバーを一時的にオフラインにすることを検討します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る