N-able N-central 認証バイパス（不完全な修正の再悪用・KEV 是正期限 8/6）

High（CVSS 8.2）に分類されるN-able N-central（バージョン 2026.3.1 まで。2026.3.1.7 以降は影響なし）の脆弱性です。N-able の RMM 製品 N-central に、認証を迂回してアカウントを乗っ取れる欠陥がある。NVD の説明は「CVE-2026-18556 に対する不完全な修正により、2026.3.1 までの N-central で認証バイパスとアカウント乗っ取りが可能になる」という1文である。 **ここで最も重要なのは「不完全な修正（incomplete patch）」という言葉である。** これは、前の CVE（CVE-2026-18556）に対して出された修正を適用済みの環境であっても、依然として同じ経路が使える、という意味になる。「もう当てたから対象外」と判断すると取り残される型の脆弱性であり、パッチ管理の記録だけを見て安心してはいけない。 CVSS の扱いに注意が要る。2026年8月4日時点で NVD は **CVSS v4.0 でのみ 8.2 HIGH**（CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:L/SA:L/E:A）を出しており、**v3.1 のスコアは付いていない**。当サイトは v3.1 に換算した数値を書かない（換算に一意の対応が無いため）。ベクタを読むと、ネットワーク越し（AV:N）・特権不要（PR:N）・利用者操作不要（UI:N）で、機密性への影響が高い（VC:H）。一方で攻撃条件の複雑さは高い（AC:H）とされ、末尾の **E:A は「悪用が実際に行われている（Attacked）」** を意味する。条件が複雑でも現に攻撃されている、という組み合わせである。 CISA KEV には 2026年8月3日に追加され、**是正期限は 2026年8月6日**と設定されている。追加から3日という期限は KEV としてもかなり短い部類で、緊急度の高さを示している。NVD の vulnStatus は 2026年8月4日時点で Received（登録直後で分析前）である。 影響を受けるのは N-central のバージョン 0 から 2026.3 まで（NVD の記載）で、**2026.3.1.7 以降は影響なし**とされている。N-central は MSP（マネージドサービスプロバイダ）が顧客環境を一括管理するための RMM 製品なので、1台が乗っ取られると管理下の全顧客環境に手が届く。被害の広がり方が通常のサーバ製品とは違う点を、優先順位の判断に入れる必要がある。

まず、自組織に N-central のサーバがあるかを確認する。N-central は MSP が運用する管理サーバなので、**自社で直接運用していなくても、委託先の MSP が使っている可能性がある**。その場合は委託先に確認する。ここを飛ばすと「うちには無い」で終わってしまうが、実際には自社の端末が管理下に入っている、という状況があり得る。 次にバージョンを見る。管理コンソールにログインし、ヘルプまたはシステム情報のページでビルド番号を確認する。NVD の記載では **2026.3.1.7 以降が未影響**なので、この番号と比べる。**2026.3.1 は影響を受ける側**である点に注意すること（末尾の .7 が付いて初めて未影響になる）。 **すでに CVE-2026-18556 の修正を当てた環境も対象である。** 本件はその修正が不完全だったために生まれた CVE なので、「前回対応済み」という記録は根拠にならない。当時のホットフィックスの適用日ではなく、いま動いているビルド番号で判断する。 恒久対応は 2026.3.1.7 以降へ更新することである。N-able はステータスページでホットフィックスの情報を出しているので、適用手順と対象ビルドはそちらで確認する。 更新までの緩和策は、**管理コンソールへの到達経路を絞る**ことに尽きる。認証を迂回される以上、パスワードの強化や多要素認証は対策にならない。管理インターフェースがインターネットから直接届く構成になっていないか、届くならアクセス元 IP を管理者の拠点だけに限定できないかを見る。CISA の要求アクションも「緩和策が無いなら製品の使用を停止する」と踏み込んだ書き方になっており、それだけ経路の遮断が重視されている。 検知は、管理者アカウントの認証ログから入る。認証バイパスなので、**正規のログイン失敗が記録に残らない**可能性がある。見るべきは失敗ではなく、成立してしまった側である。具体的には、通常と違う時間帯・通常と違う IP からの管理者セッション、覚えのない管理者アカウントの追加、スクリプトやタスクの新規登録である。N-central は管理下の端末へスクリプトを配布できるので、**配布ジョブの履歴に見覚えのない登録が無いか**を必ず見ること。乗っ取りの目的はほぼそこにある。 優先順は、**インターネットに面した N-central サーバ** → **多数の顧客環境を管理しているサーバ** → **社内限定のサーバ** の順である。KEV の是正期限が 2026年8月6日と近いので、期限を待たずに着手する。

N-able N-central（バージョン 2026.3.1 まで。2026.3.1.7 以降は影響なし） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-18577）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/06 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては BOD 26-04 の該当ガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。