情報取得日: 2025/08/13／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-8876 |
|---|---|
| 製品 | N-able / N-central |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション（CNA は CWE-20 不適切な入力検証） |
| 登録／公開日 | 2025/08/13 |
| KEV 期限 | 2025/08/20 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-8876 |
MSP 向けのリモート監視・管理（RMM）製品 N-able N-central に不適切な入力検証があり、OS コマンドインジェクションが可能である。攻撃には低い権限のアカウント（PR:L）が必要だが、成功すると管理サーバ上で任意のコマンドが実行できる。RMM は顧客企業や自社の全端末にエージェントを配って一元管理する製品であり、管理サーバの掌握は配下すべての端末に対する正規の操作権限を意味する。ランサムウェア攻撃者が RMM を経由して一斉展開を行う手口は繰り返し観測されており、この種の製品の CVE は数値以上の重さで扱う必要がある。影響は 2025.3.1 より前のすべてのバージョン。CVSS は評価元で分かれており、NVD（Primary）は CVSS 3.1 で 8.8 High（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の N-able は CVSS 4.0 で 9.4 Critical（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）としている。CNA は後続システムへの影響（SC:H/SI:H/SA:H）をすべて High と置いており、RMM という製品の位置づけを評価に反映している。CWE も NVD が CWE-78、CNA が CWE-20 と分類が分かれる。NVD の vulnStatus は Analyzed。CISA KEV には 2025-08-13 に収載され、是正期限は 2025-08-20 と1週間の短さである。ランサムウェア利用は Unknown（不明）。修正版 2025.3.1 の一般提供は N-able のステータスページで告知されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（N-central は N-able 提供の RMM 製品で、AWS のマネージドサービスに修正対象は無い）
自社ホスト型を AWS 上に構築している場合は、そのサーバ自体が更新対象になる。ALB / セキュリティグループで管理コンソールへの到達元を絞る。
参照リンク
|
| GCP | 対象外 |
対象外（GCP のマネージドサービスに修正対象は無い）
自社ホスト型を GCP 上に構築している場合はその更新が必要。NVD の CPE は n-able:n-central のみ。
参照リンク
|
| Azure | 対象外 |
対象外（Azure のマネージドサービスに修正対象は無い）
自社ホスト型を Azure 上に構築している場合はその更新が必要。
参照リンク
|
| Linux | ベンダーFW更新 |
N-central を 2025.3.1 以降へ更新する（同じ版で CVE-2025-8875 も修正される）
N-central はアプライアンス／製品としての更新手順に従う。ディストリのパッケージ更新では解消しない。更新までの緩和はアカウント棚卸しと到達元の制限。
参照リンク
|
判定は N-central サーバの版確認で、2025.3.1 より前なら該当する。管理コンソールのバージョン表示で分かる。自社ホスト型（オンプレミス設置）と N-able 側のホスト型があるため、まずどちらを使っているかを確認し、自社ホスト型なら更新の実施主体は自分になる。到達性は、N-central の管理コンソールとエージェント通信のエンドポイントがインターネットに面しているかを見る。RMM は遠隔の顧客環境や在宅端末を管理するため外部公開が通常で、ここも「公開しているか」ではなく「どこまで絞れているか」を問う対象になる。対応は 2025.3.1 以降へ更新することで、N-able のステータスページの告知が一次情報になる。攻撃に低権限アカウントが必要という点は、緩和の手がかりになる。具体的には、（1）不要なユーザーアカウントを削除し、退職者や外部委託先のアカウントを棚卸しする、（2）管理コンソールへの到達元 IP を絞る、（3）多要素認証を全アカウントに強制する、という3点で攻撃の前提を崩せる。ただしこれらは前提を難しくするだけで、修正そのものではない。KEV 収載済み、つまり実際に悪用されているため、更新後の痕跡確認が必要である。確認すべきは、N-central 上の追加されたユーザーとロール変更、実行されたスクリプト／自動化タスクの履歴（RMM は正規機能として任意スクリプトを配れるため、ここが最重要）、配下端末へ配信されたパッケージの履歴、そして管理サーバが保持している顧客環境の資格情報である。RMM が侵害された場合、配下の全端末で不審なスクリプトが動いた可能性を検討する必要があり、調査範囲は管理サーバ単体では終わらない。加えて、同一版に存在する CVE-2025-8875（デシリアライズによるコード実行）も同じ 2025.3.1 で修正されているため、1回の更新で両方を解消するのが正しい進め方である。完了条件は、（1）2025.3.1 以降へ更新、（2）アカウント棚卸しと到達元の制限、（3）スクリプト実行履歴と配布履歴の点検、（4）保持していた資格情報の再発行が済んでいることである。KEV 是正期限 2025-08-20 は経過している。
High（CVSS 8.8）に分類されるN-able N-centralの脆弱性です。MSP 向けのリモート監視・管理（RMM）製品 N-able N-central に不適切な入力検証があり、OS コマンドインジェクションが可能である。攻撃には低い権限のアカウント（PR:L）が必要だが、成功すると管理サーバ上で任意のコマンドが実行できる。RMM は顧客企業や自社の全端末にエージェントを配って一元管理する製品であり、管理サーバの掌握は配下すべての端末に対する正規の操作権限を意味する。ランサムウェア攻撃者が RMM を経由して一斉展開を行う手口は繰り返し観測されており、この種の製品の CVE は数値以上の重さで扱う必要がある。影響は 2025.3.1 より前のすべてのバージョン。CVSS は評価元で分かれており、NVD（Primary）は CVSS 3.1 で 8.8 High（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の N-able は CVSS 4.0 で 9.4 Critical（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）としている。CNA は後続システムへの影響（SC:H/SI:H/SA:H）をすべて High と置いており、RMM という製品の位置づけを評価に反映している。CWE も NVD が CWE-78、CNA が CWE-20 と分類が分かれる。NVD の vulnStatus は Analyzed。CISA KEV には 2025-08-13 に収載され、是正期限は 2025-08-20 と1週間の短さである。ランサムウェア利用は Unknown（不明）。修正版 2025.3.1 の一般提供は N-able のステータスページで告知されている。
判定は N-central サーバの版確認で、2025.3.1 より前なら該当する。管理コンソールのバージョン表示で分かる。自社ホスト型（オンプレミス設置）と N-able 側のホスト型があるため、まずどちらを使っているかを確認し、自社ホスト型なら更新の実施主体は自分になる。到達性は、N-central の管理コンソールとエージェント通信のエンドポイントがインターネットに面しているかを見る。RMM は遠隔の顧客環境や在宅端末を管理するため外部公開が通常で、ここも「公開しているか」ではなく「どこまで絞れているか」を問う対象になる。対応は 2025.3.1 以降へ更新することで、N-able のステータスページの告知が一次情報になる。攻撃に低権限アカウントが必要という点は、緩和の手がかりになる。具体的には、（1）不要なユーザーアカウントを削除し、退職者や外部委託先のアカウントを棚卸しする、（2）管理コンソールへの到達元 IP を絞る、（3）多要素認証を全アカウントに強制する、という3点で攻撃の前提を崩せる。ただしこれらは前提を難しくするだけで、修正そのものではない。KEV 収載済み、つまり実際に悪用されているため、更新後の痕跡確認が必要である。確認すべきは、N-central 上の追加されたユーザーとロール変更、実行されたスクリプト／自動化タスクの履歴（RMM は正規機能として任意スクリプトを配れるため、ここが最重要）、配下端末へ配信されたパッケージの履歴、そして管理サーバが保持している顧客環境の資格情報である。RMM が侵害された場合、配下の全端末で不審なスクリプトが動いた可能性を検討する必要があり、調査範囲は管理サーバ単体では終わらない。加えて、同一版に存在する CVE-2025-8875（デシリアライズによるコード実行）も同じ 2025.3.1 で修正されているため、1回の更新で両方を解消するのが正しい進め方である。完了条件は、（1）2025.3.1 以降へ更新、（2）アカウント棚卸しと到達元の制限、（3）スクリプト実行履歴と配布履歴の点検、（4）保持していた資格情報の再発行が済んでいることである。KEV 是正期限 2025-08-20 は経過している。
N-able N-central を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-8876）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/08/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。