N-able N-centralにCVSS 10.0の認証前RCEゼロデイCVE-2026-86218 — Hotfix 4を公開、実攻撃の報告も

IT管理やMSP（管理サービス事業者）が顧客の機器を集中管理するRMMプラットフォーム「N-central」に、認証なしでサーバ上で任意のコードを実行できる重大な脆弱性が見つかり、開発元のN-ableは2026年9月6日、修正版のHotfix 4を公開した。セキュリティ企業のHuntressによると、この脆弱性（CVE-2026-86218）のCVSSスコアは10.0（最高値）で、実攻撃での悪用も報告されている。

CVE-2026-86218 — 認証前のリモートコード実行、CVSS 10.0

N-ableの発表によると、CVE-2026-86218はN-centralサーバに対する認証前（pre-authenticated）のリモートコード実行（RCE）を許す脆弱性で、同社は重要度を「critical」と評価している。修正版はN-central 2026.3 Hotfix 4（ビルド2026.3.1.14）で、オンプレミス（自社設置）版の利用者は直ちに更新するよう求められている。クラウドホスト版（NCOD）はN-able側ですでに対策が適用されており、利用者側の作業は不要としている。

この脆弱性は、同社の脆弱性開示プログラムを通じて第三者が責任を持って報告したものだ。N-ableは「現時点で実稼働環境での悪用は確認されていないが、未対策のシステムは危険にさらされている」と説明している。

一方、Huntressは9月6日の更新で、N-ableの担当者（Jason Murphy氏）がMSP向けコミュニティのDiscordスレッドで明かした内容として、以前に開示された脆弱性とは無関係の新たな脆弱性について、別の独立した研究者から「実攻撃で悪用されている」との報告があったと伝えている。HuntressはCVE-2026-86218を「実際に悪用されている認証前RCEのゼロデイで、CVSSスコアは10.0」と位置づけている。

前日のHotfix 3（CVE-2026-86206／86207）も適用必須の経緯

今回のHotfix 4に先立ち、N-ableは2026年9月5日にHotfix 3（ビルド2026.3.1.13）を公開し、CVE-2026-86206とCVE-2026-86207を修正していた。Huntressによると、この2件の組み合わせはアクセス制御の回避により攻撃者が不正な管理者アカウントを作成できるもので、同社は概念実証（PoC）も作成したという。

重要な点として、Huntressは「Hotfix 3まで適用したシステムも、今回開示された新たな脆弱性に対しては依然として脆弱だ」と指摘し、Hotfix 3適用済みの環境もHotfix 4への更新が必須だと強調している。

さらに背景として、2026年8月にもN-centralの重大な脆弱性（CVE-2026-18556とCVE-2026-18577）が開示され、8月2日と8月6日にホットフィックスが出されていた。Huntressは8月の脆弱性について複数の組織での標的型の悪用を観測し、攻撃者が管理コンソールの正規機能（Take Control）などを悪用して管理下の端末へ侵入する手口を確認したと報告している。

推奨される対応 — Hotfix 4の即時適用と侵害の点検を

N-ableは、オンプレミス版のN-centralを利用している顧客に対し、2026.3.1.14への即時アップグレードを求めている。エージェント側の更新はCVE-2026-86218の防御には必須ではないが、同社は最新版への更新を推奨している。

Huntressは以下の対応を呼びかけている。

• N-ableが提供する最新のホットフィックス（Hotfix 4）を直ちに適用する
• ユーザー一覧を監査し、身に覚えのない管理者アカウントの作成や権限変更がないか確認する（同社は「.invalid」を含むメールアドレスの不審なアカウントを例に挙げている）
• 修正後もN-centralの管理画面をインターネットに直接公開せず、IP許可リストやVPNで受信アクセスを厳しく制限する
• N-centralの不審なログインやリモートコントロール（Take Control）の利用履歴を点検する
• 修正を適用するまで、一時的にサーバを停止することも検討する

RMMは管理下の全端末へ命令を出せる強力な仕組みであり、侵害された場合は被害が顧客全体に広がるおそれがある。N-centralを運用している組織は、更新の適用と侵害の痕跡の確認を優先すべきだ。

出典

• N-central 2026.3 Hotfix 4 – CVE-2026-86218 — N-able Status（2026年9月6日公開）
• 2026.3 HF4 Release Notes — N-able Documentation（2026年9月5日更新）
• Rapid Response: Critical N-able N-central Vulnerability and Active Exploitation — Huntress（2026年9月6日更新）