30件超のゼロデイが公開…N-ableが管理基盤N-centralを停止、オンプレ版にも停止要請

　N-ableは11月9日（日本時間10日）、MSP（マネージドサービスプロバイダー）やIT部門が顧客企業の端末やネットワークを遠隔で管理するための基盤「N-central」について、重大なセキュリティインシデントを宣言した。独立した研究者が重大な脆弱性を公開したことを受け、予防措置として、クラウドで提供するホスト型の環境を停止。オンプレミス版の利用者にも、同社から案内があるまでサーバを停止するよう求めた。


　同社のステータスページによると、インシデントの開始は日本時間10日午前0時15分（協定世界時9日15時15分）。ホスト型は米州、欧州、アジア太平洋の各地域で利用できなくなった。一方、「N-able Login」で使うEcoverse系のサービス（資産表示、パッチ適用、脆弱性管理など）は稼働を続けているという。

　公開したのは、セキュリティ研究者のSean Bales氏。BleepingComputerによると、同氏は米国時間の8日深夜、30件を超えるゼロデイ（未修正の脆弱性）を公開した。認証回避、認証情報の漏えい、任意ファイルの書き込み、XXE（XML外部実体参照）、リモートコード実行（RCE）などが含まれ、攻撃者がシステムを乗っ取れるものもあるという。検証はN-central Appliance 2026.4.0.31（プレリリース版）で行われ、同氏は旧版にも影響するとみている。発見にはAIを使ったという。

　N-ableは、現時点で悪用や不正なデータアクセスの証拠はないと説明している。ホットフィックス（緊急の修正プログラム）を開発・検証中だが、復旧時期の見通しは示していない。更新は4時間ごとを目標に、同ページで案内するという。今回の脆弱性にはCVE番号が示されていない。

　管理製品のゼロデイは、国家支援型とされる攻撃グループにも狙われている。ルーメンは10月、中国系の「Volt Typhoon」がSD-WANなどの管理製品のゼロデイを悪用していたと公表した。