N-able N-central のデシリアライズ欠陥でコード実行（悪用確認済み）

High（CVSS 7.8）に分類されるN-able N-centralの脆弱性です。N-able N-central に信頼できないデータのデシリアライズの欠陥があり、コード実行につながる。NVD の記述は「allows Local Execution of Code」で、影響は 2025.3.1 より前のすべてのバージョン。同時に公開された CVE-2025-8876（OS コマンドインジェクション）と同じ版で修正されており、実務では2件をまとめて扱うのが自然である。CVSS は評価元で大きく分かれている。NVD（Primary）は CVSS 3.1 で 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）と、攻撃元をローカル（AV:L）に置いた評価をしている。一方 CNA の N-able は CVSS 4.0 で 9.4 Critical（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）と、攻撃元をネットワーク（AV:N）とし、後続システムへの影響もすべて High と置いている。攻撃元の見方が AV:L か AV:N かで分かれており、社内報告に数値を載せる場合はどちらの評価元の値かを必ず併記すべき典型例である。NVD の vulnStatus は Analyzed。CISA KEV には 2025-08-13 に収載され、是正期限は 2025-08-20。ランサムウェア利用は Unknown（不明）。修正版 2025.3.1 の一般提供は N-able のステータスページで告知されている。

この CVE は CVE-2025-8876 と同じ製品・同じ修正版なので、対応は1回の更新で両方を終わらせるのが正しい。判定は N-central サーバの版確認で、2025.3.1 より前なら両方に該当する。自社ホスト型か N-able ホスト型かを最初に確認し、自社ホスト型なら更新の実施主体は自分になる。デシリアライズ型の欠陥は、入力の経路が製品内部の複数箇所に散らばっていることが多く、部分的な回避策を自前で組むのが難しい。したがって緩和で凌ぐ選択肢は乏しく、更新が実質的に唯一の対応になる。それでも更新までに時間が必要な場合は、攻撃の前提となる低権限アカウント（PR:L）を減らす方向で難易度を上げる。具体的には、不要なユーザーとロールの削除、外部委託先や退職者のアカウント棚卸し、多要素認証の強制、管理コンソールへの到達元 IP の制限である。CVSS の評価が AV:L と AV:N で割れている点は、この緩和判断にも影響する。NVD の見方（ローカル）を採るなら管理サーバへのアクセス経路の制限が効き、N-able の見方（ネットワーク）を採るなら公開範囲そのものを絞る必要がある。安全側に立つなら後者、つまりネットワーク到達可能な前提で扱うべきである。KEV 収載済み、つまり実際に悪用されているため、更新後の痕跡確認も行う。RMM 製品なので確認範囲は管理サーバだけでは終わらず、N-central 上の追加ユーザーとロール変更、実行されたスクリプト／自動化タスクの履歴、配下端末へ配信されたパッケージの履歴、そして管理サーバが保持している顧客環境の資格情報の利用状況まで見る必要がある。完了条件は、（1）2025.3.1 以降へ更新（CVE-2025-8876 と同時に解消）、（2）アカウント棚卸しと到達元の制限、（3）スクリプト実行・配布履歴の点検と資格情報の再発行が済んでいることである。KEV 是正期限 2025-08-20 は経過しているため、未更新なら期限超過として扱う。

N-able N-central を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-8875）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/08/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。