N-able N-central の認証バイパス（別経路による認証回避・悪用確認済み）

High（CVSS 7.4）に分類されるN-able N-able N-central 2026.1 以前の脆弱性です。N-able N-central は MSP（マネージドサービスプロバイダ）が顧客の端末やサーバーをまとめて管理するための RMM 製品である。そこに、**別経路を使って認証を回避できる**欠陥がある。 NVD の CVSS 3.1 基本値は 7.4（AV:N/AC:H/PR:N/UI:N）で High。攻撃条件の複雑さ（AC:H）が高い評価になっているが、認証も利用者の操作も要らない点は変わらない。 CISA は 2026-08-04 に KEV へ収載し、是正期限を 2026-08-07 としている。**悪用がすでに確認されている**。 この製品の性質上、影響範囲は N-central サーバー1台では終わらない。RMM は管理下の全端末へエージェント経由でコマンドを配れる仕組みなので、**管理サーバーの認証を回避されることは、その MSP が管理するすべての顧客環境への足がかりを与えることに等しい**。過去にも RMM 製品を経由した供給網型の攻撃は繰り返し起きている。 なお同時期に N-able は CVE-2026-18577 に対する N-central 2026.3.1.10（Hotfix 2）を配布している。**本CVE（18556）と 18577 は別の番号であり、どのビルドで 18556 が塞がるかは本記事の確認時点でベンダー一次情報から特定できていない。** 混同しないよう、適用前に自社のバージョンとベンダーの告知を必ず突き合わせること。

**まず自社の N-central がインターネットに公開されているかを確認する。** 未認証で到達できる欠陥なので、露出の有無が緊急度をそのまま決める。 次にベンダーの告知（N-able のステータスページとセキュリティ更新の案内）で、自社のバージョンに対する指示を確認する。N-able はクラウドホスト版については「すでに緩和策を適用済みで顧客側の作業は不要」とし、オンプレミス版については**直ちに更新すること**を求めている。オンプレミスで運用している場合は利用者の責任範囲である。 KEV の是正期限（2026-08-07）はすでに到来している。露出していた期間がある環境では、更新だけで終わらせず、管理コンソールの認証ログ・追加された管理者アカウント・エージェントへ配布されたスクリプトやタスクの履歴を確認する。RMM は正規の機能として遠隔実行ができるため、**攻撃の痕跡が「正規の操作」と同じ形で残る**点に注意が必要である。 本記事の確認時点で、CVE-2026-18556 を修正する具体的なビルド番号はベンダー一次情報から確定できていない。確定していない番号を当てにせず、N-able のサポート窓口とステータスページで自社バージョン向けの指示を直接確認すること。

N-able N-able N-central 2026.1 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-18556）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/07 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。