2026年7月末、リモート監視・管理プラットフォームであるN-able N-centralの認証回避脆弱性CVE-2026-18577が、実際の攻撃で悪用されていたことが確認されました。
N-centralは、MSPや企業のIT部門が、複数の顧客環境にあるサーバー、ワークステーション、ネットワーク機器を一元管理するRMM（Remote Monitoring and Management）プラットフォームです。リモート接続、ソフトウェア配布、パッチ管理など、広範な権限を提供するため、管理サーバーが侵害された場合、接続された内部システムや顧客環境にまで影響が及ぶ可能性があります。実際の攻撃でも、攻撃者はN-centralのTake Control機能を利用してバックアップサーバーやドメインコントローラーにアクセスした後、追加のリモート管理ツールやCloudflare Tunnelを配布し、継続的なアクセス経路を確保しました。N-ableは、この脆弱性に対応したN-central 2026.3 Hotfix 1、ビルド2026.3.1.7を公開しており、CISAもCVE-2026-18577を実際に悪用が確認された脆弱性リストに追加しています。
本記事では、CVE-2026-18577の特徴と実際の攻撃フローを分析し、Criminal IP IT資産検索を通じて、インターネットに公開されたN-central管理インターフェースと、点検が必要な資産を確認します。
CVE-2026-18577 脆弱性概要
| 項目 | 内容 |
|---|---|
| 脆弱性ID | CVE-2026-18577 |
| 影響を受ける製品 | N-able N-central |
| 脆弱性の種類 | 認証回避およびアカウント窃取 |
| CWE | CWE-288 |
| 攻撃条件 | リモートアクセス可能、事前認証不要 |
| 影響 | 管理コンソールへのアクセスおよび接続システムの制御 |
| 悪用状況 | 実際の攻撃での悪用を確認 |
| パッチバージョン | N-central 2026.3 Hotfix 1 |
| パッチビルド | 2026.3.1.7 |
CVE-2026-18577は、N-centralの通常の認証手続きを回避し、管理環境へアクセスできる脆弱性です。CVE-2026-18577は、既存のCVE-2026-18556修正後にも残っていた認証回避の問題です。つまり、既存のセキュリティアップデートを適用していた場合でも、最終ビルドである2026.3.1.7まで更新していなければ、脆弱な状態が維持されていた可能性があります。
N-ableは、脆弱なリクエストパスや内部コードレベルの原因を公開していません。ただし、攻撃者が認証なしでN-centralの管理権限を取得し、管理コンソールが提供する正規機能を利用して接続されたシステムへアクセスできることが確認されています。
攻撃シナリオ：外部公開された管理サーバーから内部システムまで
攻撃者はまず、インターネットに公開されたN-central管理インターフェースを探索します。製品名、ページタイトル、HTTPレスポンス、ログイン画面、TLS証明書などの情報が、資産の識別に利用される可能性があります。その後、CVE-2026-18577を悪用し、正規の管理者認証情報なしでN-central管理環境へアクセスします。今回の脆弱性は認証手続き自体を回避するものであるため、管理者アカウントに複雑なパスワードや多要素認証が適用されていても、脆弱なバージョンが外部に公開されている場合は攻撃が可能です。
管理権限を取得した攻撃者は、N-centralのTake Control機能を利用して、管理対象のサーバーやワークステーションにリモート接続します。実際の被害事例では、バックアップサーバー、ドメインコントローラー、アプリケーションサーバーなどの高価値システムが攻撃対象となりました。攻撃者は内部システムにアクセスした後、ユーザーアカウントやドメイン構成を調査し、新しいドメインアカウントを作成したり、既存の管理者アカウントのパスワードを変更したりしました。
また、次のようなリモート管理ツールも展開されました。
- AnyDesk
- TacticalRMM
- TeamViewer
- RustDesk
- SimpleHelp
- HopToDesk
複数のリモート管理ツールを同時にインストールすることで、N-centralへのアクセスが遮断された後も、別の経路から被害システムへ再接続できるようになります。一部のシステムには、Cloudflare Tunnelの実行ファイルもインストールされていました。攻撃者はcloudflared.exeのファイル名をMicrosoftEdgeUpdate64.exeやmsmp.exeなどに変更して正規プログラムのように偽装し、外部から内部システムへ接続するための別の通信経路を構成しました。
この過程で、攻撃者はMicrosoft Defenderやエンドポイントセキュリティエージェントの実行状況を確認し、一部の環境ではEDRプロセスの終了を試みた形跡も確認されました。
N-centralのようなRMM脆弱性が危険な理由
RMMプラットフォームは、複数の組織やエンドポイントを中央で管理するためのソフトウェアです。一般的なWebアプリケーションよりも広範な権限を持っており、侵害された場合の影響範囲も管理対象全体へ拡大する可能性があります。特にMSP環境では、1台のN-centralサーバーが複数の顧客企業の資産を同時に管理します。攻撃者が1台の管理サーバーを侵害すると、異なる組織のシステムへ攻撃を拡大できるため、サプライチェーン攻撃に近い被害構造が形成されます。
RMMプラットフォームの侵害が危険な理由は次のとおりです。
- 管理エージェントがすでにエンドポイントにインストールされているため、攻撃者が別途不正なエージェントを配布しなくてもよい
- リモート接続やスクリプト実行が正規の管理操作のように見えるため、セキュリティ監視で攻撃を判別しにくい
- 1つの操作を複数のエンドポイントへ同時に展開できるため、攻撃規模が急速に拡大する可能性
- 管理対象にドメインコントローラーやバックアップサーバーが含まれている場合、ドメイン全体の掌握やランサムウェア攻撃につながる可能性
したがって、外部に公開されたN-central管理インターフェースは、単なるログインページではなく、多数の顧客環境や内部システムにつながる中央制御ポイントとして評価する必要があります。
Criminal IPで観測された外部公開N-central管理インターフェース
CVE-2026-18577の実際の攻撃対象領域を把握するため、Criminal IP IT資産検索で3つのクエリを使用し、インターネットに公開されたN-central関連資産を分析しました。各クエリは、全体の候補資産から、製品識別の可能性が高い資産や、現在正常に応答しているインターフェースへ範囲を絞り込む際に活用できます。
N-central関連資産の外部公開状況
Criminal IP 検索クエリ: “N-central”
上記クエリの検索結果では、2026年8月時点で合計278件のN-central関連資産が確認されました。このクエリは、WebページやポートレスポンスにN-centralという文字列が含まれる資産を幅広く探索します。検索結果には、実際の管理インターフェースだけでなく、ログインリダイレクトや関連文字列を含むレスポンスも含まれる可能性があるため、外部公開候補群全体を確認する出発点として活用する必要があります。
N-able N-centralの製品名が確認される資産
Criminal IP 検索クエリ: “N-able N-central”
2つ目のクエリの検索結果では、合計39件の資産が確認されました。このクエリは、N-ableとN-centralの製品名が同時に露出している資産を抽出します。1つ目のクエリより検索範囲は狭くなりますが、攻撃者が詳細な分析を行わなくてもN-centralの使用有無を識別できる資産であるため、注意が必要です。ただし、製品名が確認されるという事実だけで、脆弱なバージョンであると判断することはできません。実際の脆弱性有無は、内部でN-central 2026.3.1.7 Hotfix 1が適用されているかを確認する必要があります。
HTTP 200レスポンスを返すN-central管理インターフェース
Criminal IP 検索クエリ: “N-central” status_code: 200
3つ目のクエリの検索結果では、合計257件の資産が確認されました。これは、N-central関連候補資産全体163件のうち、約72%に相当します。HTTP 200レスポンスは、該当Webインターフェースが現在、外部リクエストに対して正常なコンテンツを返していることを意味します。攻撃者は、接続に失敗する資産や応答しない資産を除外し、実際にアクセス可能な管理インターフェースを優先的に分析できます。
ある資産で確認されたN-centralログインリダイレクト
ある資産を確認したところ、TCP 443番ポートのHTTPSサービスがステータスコード200を返し、ページタイトルにN-central Login Redirectが表示されている事例が確認されました。レスポンスHTMLにはwindow.location.replace(“/login”)コードが含まれており、外部リクエストが実際のログインパスへ遷移する構造であることを確認できます。これは、単に製品文字列を含むページではなく、N-central管理インターフェースに関連する資産であると判断する根拠になります。
このように3つのクエリを活用することで、N-central関連の全体候補群、製品名が明確に露出している資産、正常に応答するWebインターフェース、実際のログインパスへ接続される資産という順に、分析範囲を絞り込むことができます。このうち、管理インターフェースが公衆インターネットに公開されており、内部確認の結果、ビルドが2026.3.1.7未満である場合は、直ちにパッチを適用する必要があります。実際の悪用が確認された脆弱性であるため、過去の管理コンソール接続履歴とTake Controlの使用履歴もあわせて点検する必要があります。
パッチ状況および対応策
N-ableは、CVE-2026-18577を修正したN-central 2026.3 Hotfix 1を公開しており、該当ビルド番号は2026.3.1.7です。オンプレミス環境を運用している組織は、すべてのN-centralインスタンスを当該バージョン以上へ直ちにアップデートする必要があります。運用サーバーだけでなく、テスト環境や災害復旧用サーバーもあわせて確認する必要があります。管理インターフェースが公衆インターネットからアクセス可能な場合は、VPN、ファイアウォール、または許可IPポリシーを適用し、アクセス範囲を制限する必要があります。多要素認証はアカウント窃取リスクの低減には有効ですが、認証手続き自体を回避する今回の脆弱性に対するパッチの代替にはなりません。
パッチ適用後は、N-central管理コンソールとTake Controlの履歴から、以下のような活動を確認する必要があります。
- 通常使用されない外部IPからの接続
- 業務時間外のリモートセッション
- 承認履歴のないリモートサポート活動
- ドメインコントローラーやバックアップサーバーへの接続
- 新規作成された管理者アカウント、または権限が変更された管理者アカウント
管理対象エンドポイントでは、承認されていないRMMツールやCloudflare Tunnelがインストールされていないかを点検する必要があります。特に、AnyDesk、TeamViewer、RustDesk、TacticalRMM、SimpleHelp、HopToDesk、cloudflared.exeの実行履歴を確認し、新規作成されたアカウント、パスワード変更、サービスやタスクスケジューラへの登録、セキュリティ製品の終了履歴もあわせて調査する必要があります。
侵害の可能性が確認された場合は、N-central管理者アカウントだけでなく、ドメイン管理者アカウント、サービスアカウント、バックアップソリューションアカウント、APIキー、連携トークンも再設定する必要があります。公開されている一部の攻撃IPはVPN出口ノードであることが確認されているため、特定IPとの通信履歴だけで侵害を断定すべきではありません。接続アカウント、時刻、対象システム、リモートツールの配布履歴とあわせて分析する必要があります。
FAQ
Q1. N-centralのログインページが外部に公開されている場合、すべて脆弱ですか？
N-central管理インターフェースが外部に公開されているという事実だけで、CVE-2026-18577の影響を受けるかどうかを判断することはできません。実際の脆弱性有無は、N-centralのビルド番号と、2026.3.1.7 Hotfix 1の適用有無を確認する必要があります。ただし、管理インターフェースの外部公開は、攻撃者が製品を識別し、脆弱性の悪用を試みる接点となるため、アクセス制限が必要です。
Q2. N-central 2026.3を使用していれば安全ですか？
必ずしも安全とは限りません。最終的な修正バージョンはN-central 2026.3 Hotfix 1であり、ビルド番号は2026.3.1.7です。2026.3を使用している場合でも、Hotfix 1が適用されていなければ、脆弱な状態である可能性があります。
Q3. ホスティング型N-centralも影響を受けますか？
ホスティング型とオンプレミス型のN-centralはいずれも調査対象に含まれていました。N-ableはホスティング環境に必要な措置を適用しており、オンプレミス運用者はN-central 2026.3 Hotfix 1を直接インストールする必要があります。
結論
CVE-2026-18577は、N-able N-centralの認証手続きを回避し、管理環境へアクセスできる脆弱性です。実際の攻撃において、N-centralサーバーは最終的な攻撃対象ではなく、内部システムや顧客エンドポイントへ移動するための中央管理拠点として使用されました。攻撃者はTake Control機能を通じてバックアップサーバーやドメインコントローラーにアクセスし、複数のリモート管理ツールとCloudflare Tunnelを展開して、継続的なアクセス経路を確保しました。
今回の事例は、RMM管理インターフェースの外部公開が、一般的なWeb管理ページよりも大きなリスクにつながる可能性があることを示しています。1台のN-centralサーバーが複数の組織やエンドポイントを管理しているため、認証回避に成功した場合、被害が多数のシステムへ急速に拡大する可能性があります。
なお、関連してRabbitMQ OAuthシークレット漏えいの脆弱性：CVE-2026-57219・57221分析 の記事もご参考いただけます。
Criminal IP（criminalip.io/ja/register）に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja), N-ABLE(https://www.n-able.com/blog/n-central-security-update-august-4-2026), BleepingComputer(https://www.bleepingcomputer.com/news/security/n-able-warns-of-n-central-auth-bypass-flaw-exploited-in-attacks/, https://status.n-able.com/2026/08/02/n-central-2026-3-hotfix-1-mitigation-for-cve-2026-18577/)
