修正版HF2を適用しても狙われる恐れ　N-centralに新たな攻撃コード、探索行為も観測

　N-ableは2026年11月10日、管理基盤「N-central」の緊急修正版「2026.4 HF2」（ビルド2026.4.1.26）を公開した。MSP（マネージドサービスプロバイダー）やIT部門が顧客の端末を遠隔管理するのに使う製品で、独立研究者が公開した30件超のゼロデイ（未修正の脆弱性）をめぐり、N-ableが管理基盤を停止した問題への対応策だ。

　HF2は、オンプレミス版の利用者が自らサーバを更新し、すべての利用者がAgentとProbeも更新する必要がある。内蔵のリモート制御機能は、一時的に無効になるという。

　ところが、その後に新たな攻撃コードが公開された。研究者のSean Bales氏が「4EverAble2Shell」と「Agent2Shell」を公開し、HF2にも通じるとしている。The Hacker Newsによると、前者は認証なしでサーバのroot権限を奪える遠隔コード実行、後者は管理対象のWindows端末でSYSTEM権限のコマンドを実行させるものだという。

　N-ableは12日、HF2を適用したオンプレミス版に関する新たな公開情報を調査していると明らかにした。同紙が伝えた説明では、問題は旧API（Legacy API）を有効にしてインターネットに公開した構成に限られ、旧APIは既定で無効で推奨していないという。N-ableは旧APIをすぐ無効にするよう求め、ホスト型は影響を受けないとしている。この説明は同紙の引用で、N-ableの公式ページでは確認できていない。

　探索行為もすでに観測されている。セキュリティ企業のPresidianは、攻撃コードの公開から数時間で、4EverAble2Shellを狙う探索を確認した。成功の証拠はないという。一連の試みではCVE-2026-90436（Apache Axisの欠陥、CVSS 9.8）が最初に使われ、この脆弱性の悪用の試みが記録されたのは初めてと同社は説明している。watchTowrも、旧APIが有効なビルドへの探索を確認したという。