N-able、研究者が「ゼロデイ」を30件公開したこと受けN-centralをオフラインに

N-able、研究者が「ゼロデイ」を30件公開したこと受けN-centralをオフラインに

BleepingComputer – November 9, 2026

あるセキュリティ研究者がN-centralにおける「ゼロデイ脆弱性」とされるものを30件超公開したことを受け、N-ableはホスト型のN-central環境をオフラインにした上で、オンプレミス版の顧客にサーバーをシャットダウンするよう呼びかけた。この研究者が公開した情報には、攻撃者による脆弱なシステムの乗っ取りを可能にし得るものも含まれるという。

N-centralは、マネージドサービスプロバイダー（MSP）やITチームなどが顧客デバイスやネットワークの遠隔監視・管理・保護を行うために使用するRMMプラットフォーム。11月8日、研究者Sean Bales氏は同ツールの脆弱性数件のPoCエクスプロイトとされるものを含むリポジトリ「Able2Shell」をGitHubに公開した。AIを活用して発見したとされるこれらの脆弱性についてBales氏は、プレリリース版のN-central Appliance 2026.4.0.31に対してテスト済みだと主張。その上で、すべてではないにせよほとんどの脆弱性がこれより前のバージョンにも影響を及ぼすだろうとの考えを示した。

Able2Shellで公開された脆弱性に含まれるのは、認証バイパス、認証情報漏洩、任意ファイル書き込み、ディレクトリトラバーサル、クロスサイトスクリプティング（XSS）、XML外部エンティティ（XXE）インジェクション、リモートコード実行。このうち特に深刻度が高いエクスプロイトチェーンは、N-centralのservice-import機能に存在する認証不要のXXE脆弱性を悪用し、信頼されたローカルセッションを乗っ取り、アカウントのパスワードをリセットして、nableユーザーとしてサーバー上でコマンドを実行するものだという。また、この同じエクスプロイトにより、攻撃者が制御する認証情報を持つ有効な「Default Administrator」アカウントを作成することも可能であり、これによりN-centralの管理インターフェースへの不正な管理者アクセス権限が得られるとされる。Bales氏は、このエクスプロイトを実証する動画も共有している。

Able2Shellの公開を受けて、N-ableは重大なセキュリティインシデントを宣言。米大陸・ヨーロッパ・アジア太平洋地域においてホスト型のN-central環境をオフラインにする措置を講じた。Bales氏が公開したすべての脆弱性について第三者による裏付けがあるわけではないものの、N-ableはホットフィックスを開発中であると認めていることから、少なくともいくつかの脆弱性については正規のゼロデイである可能性が高いと思われる。

Bales氏がBleepingComputerに語ったところによると、N-ableへの事前の通知なしで脆弱性を開示したのは意図的な行為だったとされる。同氏は5〜6か月前にも別のN-able製品における脆弱性数件をN-ableへ報告したものの返答を得られなかったことから、同社の脆弱性開示への姿勢に疑念を抱き、今回のAble2Shell公開に踏み切ったという。なお5〜6か月前に報告されたのはN-centralではない製品のリモートコード実行2件および権限昇格1件で、いずれもまだ修正されていないと同氏は述べている。

一方のN-ableは、Able2Shellについて重大な脆弱性の「責任ない開示」と表現。必要な緩和措置の実施に向けて動いているとした上で、現時点でこれらの脆弱性が攻撃者に悪用される様子は観測していないと述べた。同社はN-centralがいつ復旧するかについての見通しを示していないが、4時間ごとに最新情報を公開する予定であり、新たな情報が入り次第、それより早く公開するとしている。