Trusted Design

CVE-2026-86218 の詳細

CVEの情報

説明:
N-central is vulnerable to a pre-auth remote code execution This issue affects N-central: before 2026.3.1.14.

CVE更新日: 2026-09-06 03:17:17.373000

CVSSバージョン: 4.0

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-09-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.133490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-86218について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-86218は、N-able N-central（マネージドサービスプロバイダー（MSP）が利用するリモート監視・管理（RMM）プラットフォーム）における認証前のリモートコード実行（RCE）の脆弱性です。この脆弱性により、認証されていない攻撃者がネットワーク経由で影響を受けるN-centralサーバー上で任意のコードを実行できます。ユーザーの操作は不要です。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者がN-centralサーバー上で任意のリモートコード実行を完全に制御できるようになります。 その結果、RMMインフラストラクチャ全体の乗っ取りが可能となり、N-centralが管理するすべてのエンドポイント、保存された認証情報、および複数のダウンストリーム顧客環境が危険にさらされる可能性があります。 これは、MSPとそのクライアントに対するサプライチェーン型の侵入に魅力的な脆弱性であり、複数のクライアントネットワークに同時に影響を与える可能性があります。

1.2 深刻度

CVE-2026-86218は、CVSSスコアが最大深刻度の10.0（または9.8）と評価されています。 これは、「緊急」の脆弱性として分類され、認証を必要としないため、攻撃者が脆弱なサーバーインターフェースに到達できれば、N-centralサーバー上で任意のコードを実行できる可能性があります。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実環境での積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はN-able N-centralソフトウェアに存在し、特定のOSバージョンに依存しません。影響を受けるのは、N-able N-centralのバージョン2026.3.1.14より前のすべてのリリースです。これには、2026.3のベースリリース、Hotfix 1、Hotfix 2、Hotfix 3が含まれます。

2.2 影響を受ける設定

N-able N-centralサーバー、特にインターネットに公開されているインスタンスが影響を受けます。この脆弱性は認証前のものであるため、ネットワークから到達可能であるだけで悪用の十分な条件となります。

3. 影響を受けた時の兆候

影響を受けた際の兆候として、以下のものが挙げられます。

  • Webサーバーのアクセスログにおける、認証されていないエンドポイントへの異常な受信リクエスト、特に大量のペイロードや疑わしい文字を含むもの。
  • N-centralサービスによって予期せず生成された子プロセス（例: /bin/sh や cmd.exe）。
  • N-centralサーバーから不明な外部IPアドレスへの不正なアウトバウンド接続。
  • 通常の運用時間外にN-centralから管理対象エンドポイントへの大量のスクリプトまたはタスク展開イベント。
  • N-centralサーバーおよびリンクされたIDプロバイダーでの認証および特権の変更。
  • 異常な管理者アカウント（特に末尾が「.invalid」の電子メールアドレスを持つユーザー）の作成。
  • N-centralインストールパス内の静的に保存されたコード、テンプレート、または設定ファイルの改変。
  • envoy_proxy_HTTPS.logおよびN-central syslogストリームにおけるURLエンコードされたAPI操作の試行や予期せぬ管理セッション。

4. 推奨対策

4.1 本対策

  • すべてのN-centralインスタンスをバージョン2026.3.1.14（Hotfix 4）以降に直ちにアップグレードしてください。
  • N-ableのホスト型N-central（NCOD）環境はN-ableによってすでにパッチが適用されているため、顧客側でのアクションは不要です。
  • CISA KEV公開期間中にインターネットに公開され、パッチが適用されていなかったN-centralサーバーについては、侵害されたものとみなし、インシデントレスポンスを開始してください。
  • パッチ適用後、N-central展開に関連する認証情報、APIキー、およびエージェントシークレットをローテーションしてください。
  • すべてのN-central管理者アカウントを監査し、不審なユーザーや認識されていないユーザーを特定してください。

4.2 暫定回避策（緩和策）

即座にパッチを適用できない場合、以下の暫定的な緩和策を適用してください。

  • N-central管理インターフェースへのネットワークアクセスを、信頼できる管理ネットワークおよびVPNに制限してください（IPアドレスのホワイトリスト化など）。
  • N-centralサーバーを他のネットワークセグメントから分離し、管理にはジャストインタイムアクセスを使用してください。
  • すべての管理者アクセスに多要素認証（MFA）を強制してください。これは関連する脆弱性に対する部分的な緩和策であり、RCE自体を直接緩和するものではないことに注意してください。
  • 最終手段として、Hotfixが適用されるまで管理コンソールを完全にオフラインにしてください。
  • 管理プラットフォームからのアウトバウンドトラフィックを監視・制御するために、エグレスセキュリティおよびポリシー施行を展開してください。
  • 管理プラットフォームとクライアントネットワーク間のアクセスを最小特権ポリシーで強制するために、ゼロトラストセグメンテーションを実装してください。
  • インラインIPS（Suricataなど）機能を展開して、悪意のあるトラフィックを識別してください。

参照したサイト

その他解説すべき観点

  • CWE（Common Weakness Enumeration）: この脆弱性は、CWE-96「Improper Neutralization of Directives in Statically Saved Code」（静的コードインジェクション）に分類されています。 これは、ユーザー制御の入力が後でアプリケーションによって解釈または実行されるコードまたはテンプレートコンテンツに書き込まれ、入力が永続化される前に無害化されない場合に発生する種類の欠陥です。
  • 他のCVEとの関連性: CVE-2026-86218は、認証バイパスの脆弱性であるCVE-2026-86206（アクセス制御バイパス）およびCVE-2026-86207（認証バイパス）と組み合わせて悪用される可能性があり、攻撃者はこれらの脆弱性を連鎖させることで、コンソール認証をバイパスし、攻撃者制御の管理者アカウントを作成し、RMMインフラストラクチャを完全に掌握することができます。
  • 積極的な悪用: CISAがこのCVEを既知の悪用されている脆弱性（KEV）カタログに含めていることから、実際に悪用されていることが確認されています。
  • ターゲット: N-able N-centralのようなRMMプラットフォームは、クライアントネットワークとインフラストラクチャへの特権アクセスを提供する性質から、攻撃者にとって魅力的なターゲットです。単一の侵害から複数のダウンストリーム組織にアクセスできるため、サプライチェーン攻撃シナリオにおいて重要な構成要素となります。
  • ベンダーの対応: N-ableは、この脆弱性に対応するため、Hotfix 4（バージョン2026.3.1.14）をリリースしました。

NVDサイト

NVDでCVEの詳細を見る

戻る