N-central 脆弱性の一覧と安全なバージョン CVE-2026-18577

N-able N-central の最新版は、正式版としてはビルド 2026.3.1.10（2026年8月6日公開）です。その4日前に出た 2026.3.1.7 では足りません。開発元のN-ableは Hotfix 2 のリリースノートに「先のホットフィックスを適用済みでも Hotfix 2 は必須」と書いています。ホットフィックスは、機能を足さずに不具合だけを急いで直す小さな更新のことです。リリースノートは、その中身を開発元が知らせる公式の文書を指します。

ここに達していないサーバーは、ログイン画面をすり抜けて管理者アカウントを奪われる欠陥（CVE-2026-18577）を抱えたままです。この欠陥は修正が出るより前から実際の攻撃に使われていました。開発元は2026年7月31日、自社の監視サービスが未知の欠陥を突く攻撃を検知したと公表しています。米政府CISAも「実際に攻撃されている脆弱性」の一覧に収載しました。

上げ先と直接上げられる元の版は、いずれも Hotfix 2 のリリースノートに書かれているとおりです。以下、この製品が何をするものかから順に、いま確かめるべきことを並べます。

N-centralとは何をするソフトか

N-centralは、IT保守を請け負う事業者が、契約先の会社のパソコンやサーバーをまとめて監視・操作するためのソフトです。この種の製品はRMM（遠隔監視・管理。離れた場所にある機器の状態を見て、必要なら手を入れる仕組み）と呼ばれます。開発元は米N-able社です。

仕組みはこうです。保守事業者が自社にN-centralのサーバーを1台立て、契約先の端末には小さな常駐プログラム（エージェント）を入れておきます。ネットワーク内を見て回る探索役（プローブ）も置きます。すると保守事業者は、その1台の画面から、契約先すべての端末の状態を見たり、更新プログラムを配ったり、遠隔で操作したりできます。何十社・何千台をひとりの担当者が面倒みられる、という効率のための仕組みです。

画面から端末へ直接つなぐ機能は「Take Control」という名前です。N-ableの製品ページが「無人接続」と説明しているとおり、相手側の操作を待たずにつながります。今回の攻撃で悪用されたのは、この機能でした。

動かし方は2通りあります。自分でサーバーを立てる自社設置版と、N-ableが運用するクラウド版（NCOD）です。修正を自分で当てる必要があるのは自社設置版だけで、クラウド版はN-ableが適用します。

裏を返すと、そのサーバー1台を乗っ取れば、つながっている契約先の端末すべてに手が届くということでもあります。今回の欠陥が数字以上に重く扱われているのは、この構造のためです。

自社でN-centralを運用していない会社の場合、確認すべきなのは「保守を任せている会社が何を使っているか」です。ここは自分では調べようがないので、聞くしかありません。聞き方は後半にまとめました。

いま出ているバージョンと、その位置づけ

N-centralのバージョンは「年.四半期」の系列に、ビルド番号が続く形です。2026年8月20日時点で、公式ドキュメントに載っているものは次のとおりです。

紛らわしいのは 2026.4 です。番号だけ見れば 2026.3 より新しく、リリースノートには「2026.3 Hotfix 2 の内容を含む」と書かれています。ただしこれはRC（リリース候補）、つまり正式版の前の評価用で、本番環境の上げ先として案内されているものではありません。8月19日に更新されたのはこのRCの文書で、正式版の最新は8月6日の 2026.3.1.10 のままです。

端末側の常駐プログラムについて、N-ableは「今回の欠陥を防ぐ目的では更新は必須ではないが、ホットフィックスを入れたあとに更新しておくことを勧める」としています。Hotfix 1 のリリースノートには、Windows用の配布ファイルが90MBから180MBへ倍増したという注意も書かれています。台数が多い環境では通信量を見ておいたほうがよさそうです。

自分が使っているバージョンを確かめる

N-centralの管理画面から確認できます。N-ableの利用手引きは、次の場所を案内しています。

• System Settings（システム設定） → N-central Server（N-centralのサーバー） → Version Management（バージョン管理）
• この画面に入れるのは System Administrator（システム全体の管理者）または Product Administrator（製品ごとの管理者）の権限を持つ利用者だけです

見るべきなのは系列ではなくビルド番号です。「2026.3.1」という表記は、情報源によって欠陥のある版の上限を指す場合と、修正が入った系列を指す場合があり、そのままでは判断できません。末尾まで含めて 2026.3.1.10 に達しているかで見ます。

権限がなくて画面を見られない場合や、そもそも自社ではN-centralを運用していない場合は、運用している側に聞くことになります。

N-centralで公表されている脆弱性の一覧

この1年で10件が公表されています。GitHubの脆弱性データベースとNVD（米国の脆弱性データベース）で確認できた範囲を、公表が新しい順に並べます。

表にある「KEV」は、米政府CISAが「実際に攻撃されている」と確認した脆弱性だけを載せる一覧です。深刻度はNVDが付けたCVSS v3.1の値（10点満点）です。CVE-2025-9316とCVE-2025-7051の2件だけはNVDの評価がなく、開発元が付けた値（前者はCVSS v4.0、後者はCVSS v3.1）を載せています。「影響しない版」もNVDの記載で、開発元の告知文とは書き方が食い違うことがあります。迷ったらリリースノートのビルド番号を優先してください。

この表から読み取れることが2つあります。ひとつは、2025.4 で4件がまとめて塞がれていること。もうひとつは、実際の攻撃が確認されたのは2025年8月と2026年8月の2回だが、性質が違うことです。2025年の2件はいずれもログインできる利用者が前提で、うちCVE-2025-8875はサーバーに入り込んだあとでしか成り立ちません。これに対して2026年の2件はログイン自体をすり抜けるため、認証情報を持たない相手が外から一気に入れます。

2025年11月の4件のうち、CVE-2025-9316 と CVE-2025-11700 の2件は、セキュリティ企業のHorizon3.aiが見つけて調査結果を公開したものです（2025年11月17日）。ファイルを読み出す実証コードもGitHubに置いています。同社が調査に入ったきっかけは、その3か月前にKEV入りした CVE-2025-8875 / 8876 でした。この調査で指摘されたのは、N-centralのデータベースに「ドメインの認証情報、利用者の接続鍵、機器やサービスの接続鍵、SSHの秘密鍵」などが集まっているという点でした。攻撃者から見た価値の高さが、繰り返し狙われる理由です。

CVE-2026-18577で実際に何が起きたのか

2026年8月の件は、修正が出る前から攻撃に使われていました。日付を追います。

Hotfix 2 の理由についてN-ableが書いているのは、「8月6日、監視を続けるなかで関連する攻撃経路が浮かび上がったので、同日中に Hotfix 2 を出し、Hotfix 1 を置き換える追加の防御を入れた」という説明です。新しい経路の技術的な中身は公表されておらず、番号も新たには振られていません。外形的には同じ穴の塞ぎ直しに見えますが、実質は2回目の修正です。

攻撃の中身で目を引くのは、攻撃者が持ち込んだ道具ではなく、N-centralに元から付いている正規の機能を使って契約先の端末へ入っていった点です。管理者権限を取ったあとは Take Control で端末につなぎ、契約先のドメインコントローラー（社内の利用者情報をまとめて管理するサーバー）やファイルサーバーへ進んでいました。不審なソフトを送り込まないので、見つけにくくなります。

その先の動きは、Sophosが公開した対応記録が具体的です。ある被害環境では、「veeam」という名前のドメインアカウントが新しく作られ、既存の管理者アカウントのパスワードが変更されていました。さらにAnyDesk・TeamViewer・RustDesk・TacticalRMM・SimpleHelp・HopToDeskといった別の遠隔操作ソフトが次々に入れられました。攻撃者は動いているプログラムの一覧を取って Microsoft と Sophos の防御ソフトがいないかを調べており、見つかったSophosのファイル検査プロセスは、防御ソフト停止用の道具で終了させられています。

居座りの手口は、Cloudflareの通り道を「サービス」として端末に登録するというものです。外向きの通信だけで成立するため、受信側のファイアウォール設定を変える必要がありません。元のN-centralサーバーへのアクセスを遮断しても、端末側から接続を維持できます。

その先で何が起きたかについては、調査会社S-RMが8月7日、「2026年8月初旬以降、複数の身代金要求型ウイルス事案に対応した」と公表しています（件数と被害組織は非公開）。攻撃者の正体については、Microsoftが中国拠点とみられる金銭目的の集団「Storm-1175」の関与を「可能性が高い」と評価していますが、断定はしていません。N-able自身は攻撃者について何も公表していません。CISAのKEVでも、2026年8月19日版の時点で身代金要求型ウイルスでの使用は2件とも「不明」のままです。

悪用のされやすさを予測する指標（EPSS）では、8月19日時点でCVE-2026-18577が4.1%、全体の上位約10%（89.9パーセンタイル）に位置しています。前段のCVE-2026-18556は0.5%、40.3パーセンタイルで、同じ製品の同じ種類の欠陥でも差がついています。

修正の行き渡り方については、8月3日時点でHuntressが「外から届くN-centralサーバーの13.6%が未修正、自社運用に限ると28.6%が未修正のまま外部に出ている」と公表しました。それ以降の割合を示す公表データは見つかりませんでした。

侵入されたかどうかを確かめる

N-ableは8月10日の更新で、「Hotfix 2 は攻撃者が入ってきた穴を塞ぐが、すでに環境の中にいる相手を追い出すものではない」と書いています。修正を当てたことと、侵入されていないことは別の話です。次の痕跡を、管理下の端末に対して確認してください。

svchost.exe はWindowsに元から存在する正規のプロセス名です。本物はシステムフォルダーにあり、利用者のドキュメントフォルダーには置かれません。名前だけ借りて紛れ込ませる、古くからある手口です。

Huntressが挙げているログの場所は、Take Controlが残す記録です。誰がいつ端末に接続したかを追えるので、痕跡が見つからなかった場合でも一度目を通しておく価値があります。Huntressは、N-centralサーバーが標準でAlmaLinux 9（サーバー向けの基本ソフト）の上で動き、端末の挙動を監視する仕組みが入っていないのが通例だとも指摘しています。侵入されても気づく仕掛けがないという指摘です。

N-ableは、いずれかが見つかった場合はただちに同社サポートへ連絡し、自社のセキュリティ担当を関与させるよう求めています。あわせて8月10日の更新では、全アカウントへの多要素認証（合言葉のほかにもう1つ本人確認を足す仕組み）の適用と、利用者権限の棚卸しを勧めています。適用が遅れた期間がある場合は、アカウントを一通り見直すよう明記しています。

IT保守を委託している側は、何を聞けばいいのか

この件が厄介なのは、N-centralを使っているのがIT保守会社であって、被害が出るのはその契約先だという構図にあります。米ニューヨーク州金融サービス局は8月11日、規制対象の金融機関へ業界向けの注意喚起を出しました。そこにはこう書かれています。「いったんアクセスを取られると、攻撃者は新しいサービスを作成・登録できるため、侵害されたN-centralの認証情報を無効にした後もアクセスを維持できる」。

保守会社が「パスワードを変えました」と言っても、それだけでは終わらないということです。委託している側から聞くべきことは次のとおりです。

• N-centralを使っていますか。使っている場合、自社設置版とクラウド版のどちらですか
• 自社設置版なら、いまのビルド番号はいくつですか。2026.3.1.10 に達していますか
• それを適用したのはいつですか
• 適用より前の期間について、痕跡の確認をしましたか。確認した範囲はどこまでですか
• 管理者アカウントの棚卸しと多要素認証の適用は済んでいますか
• 自社のネットワークに、見慣れない遠隔操作ソフトや管理者アカウントが増えていないかを確認しましたか

N-able自身も「限られた数の顧客」が実際に侵害されたと認めていますが、被害社数も社名も公表していません。同じ形の話として、当サイトでは遠隔サポートソフト「SimpleHelp」の認証回避やCiscoのファイアウォール管理ソフトに固定パスワードが埋まっていた件も扱っています。

他の遠隔管理ソフトに乗り換えれば安全になるのか

同じ用途の製品には Datto RMM や ConnectWise ScreenConnect などがあり、今回の件で乗り換えを考える人もいます。判断の材料として、CISAが「実際に攻撃された」と認定した同じ種類の製品を並べます。

Datto RMM は、2026年8月20日時点でこの一覧に載っていません。ただし「載っていない」は「狙われない」ではありません。上に並んだどれもが、契約先の端末すべてに手が届く1台を持つという同じ構造をしています。この構造がある限り、攻撃者にとっての価値は製品を替えても変わりません。

乗り換えより先に効くのは、製品を問わず使える次の3つです。管理画面をインターネットの全体には見せないこと。管理者アカウントに多要素認証を必ず付けること。そして管理サーバー自身の挙動を監視すること。今回、N-ableが自社の異常を先に見つけられたのも、監視を入れていたからでした。KEVに載った製品と期限はCISA KEVダッシュボード（日本語版）で追えます。

よくある質問

N-centralの最新バージョンはどれですか

2026年8月20日時点で、正式版の最新はビルド 2026.3.1.10（2026.3 Hotfix 2、8月6日公開）です。公式のリリースノートで確認できます。

2026.4 に上げればいいですか

2026.4 は8月20日時点でRC（正式版の前の評価用）で、ビルドは 2026.4.0.14 です。リリースノートには 2026.3 Hotfix 2 の内容を含むと書かれていますが、本番環境の上げ先として案内されているのは 2026.3.1.10 のほうです。

2026.3.1 に上げれば大丈夫ですか

足りません。ビルド番号の末尾まで確認してください。最初の修正が 2026.3.1.7、関連する別経路まで塞いだのが 2026.3.1.10 です。「2026.3.1」という表記は、情報源によって欠陥のある版の上限を指す場合と修正系列を指す場合があります。

クラウド版を使っています。作業は必要ですか

N-ableが運用するクラウド版（NCOD）については、リリースノートに「対策はすでに適用済みで、いま行うことはない」と明記されています。ただし修正の適用と、すでに侵入されていないかの確認は別の話です。管理下の端末について痕跡の確認は行ってください。

端末側の常駐プログラムも更新が必要ですか

N-ableは「今回の欠陥を防ぐ目的では必須ではない」としたうえで、ホットフィックス適用後に更新することを勧めています。なお2025年9月に公表された CVE-2025-10231 は、その常駐プログラムと探索役の側の欠陥です。

KEVの是正期限は、日本の会社にも適用されますか

CVE-2026-18577 の8月6日、CVE-2026-18556 の8月7日という期限は、いずれも米国の政府機関に向けたもので、日本の組織に法的な強制力はありません。ただしKEVに載るのは実際の攻撃が確認された脆弱性だけです。CISAは公開の翌日に収載し、猶予を3日しか置きませんでした。期限の名宛人でなくても、同じ速度で動くのが妥当です。

攻撃者が誰かは分かっているのですか

確定していません。Microsoftが「Storm-1175」という金銭目的の集団の関与を可能性が高いと評価していますが、断定はしていません。N-able自身は攻撃者について何も公表していません。

日本国内での利用状況は分かりますか

国内の導入社数や台数を示す公表データは見つかりませんでした。日本語の告知や国内向けの窓口も確認できていません。JVN iPediaには2026年8月5日に2件が登録されています（JVNDB-2026-026953＝CVE-2026-18577、JVNDB-2026-026954＝CVE-2026-18556）。

更新履歴

• 2026年8月20日：製品名で調べに来る読者向けに構成を組み替え。公表済みの脆弱性10件の一覧、いま出ているバージョンの位置づけ、管理画面でのバージョンの確かめ方、他の遠隔管理ソフトの状況を追加。侵入の痕跡はN-ableの8月10日版とSophosの対応記録に置き換え（攻撃元IPは4件から10件、ドメインは3件から4件へ）。攻撃者の動機を推測する節を削除
• 2026年8月12日：Hotfix 2（2026.3.1.10）と、身代金要求型ウイルスの事案が確認されたことを追記
• 2026年8月6日：CVE-2026-18556 もKEVへ収載されたことを追記。開発元の説明ページについて「404で読めない」と書いていた記述を訂正
• 2026年8月4日：CVE-2026-18577 のKEV収載を追記。初出時に「KEVには未収載」と書いていた記述を訂正
• 2026年8月3日：公開

参照元

• ・N-central 2026.3 HF2 リリースノート（ビルド 2026.3.1.10）
• ・N-central 2026.3 HF1 リリースノート（ビルド 2026.3.1.7）
• ・N-central 2026.4 RC3 リリースノート（ビルド 2026.4.0.14）
• ・N-central 利用手引き Version Management
• ・N-able N-central Security Update（2026年8月10日）
• ・N-able N-central Security Update（2026年8月2日版・8月4日版）。どちらも現在は8月10日版へ転送されます
• ・N-able 稼働状況ページ Hotfix 1 の告知
• ・GitHub Advisory Database N-central の脆弱性一覧
• ・NVD CVE-2026-18577
• ・NVD CVE-2026-18556
• ・CISA Known Exploited Vulnerabilities Catalog
• ・ニューヨーク州金融サービス局 Cybersecurity Alert: N-central Vulnerability Affecting Some Managed Service Providers
• ・Sophos N-able N-central exploitation results in RMM tool deployment
• ・Huntress Rapid Response: Critical N-able N-central Vulnerability and Active Exploitation
• ・S-RM Cyber threat advisory: Active exploitation of N-able N-central
• ・Horizon3.ai N-able N-central: From N-days to 0-days
• ・JVN iPedia JVNDB-2026-026953
• ・Security NEXT N-able「N-central」の脆弱性に関する報道
• ・N-able Take Control 製品ページ