対象：オンプレミス版またはホスト型のN-able N-centralを使っているMSP（管理サービス事業者）と、社内でN-centralを運用している情報システム部門。本記事はN-ableの公式の状況ページ・リリースノート・ブログと、セキュリティ企業の公開情報にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
オンプレミス版またはホスト型のN-able N-centralを使っているMSP（管理サービス事業者）と、社内でN-centralを運用している情報システム部門。
- 影響が確認された範囲表で見る ↓
- 最初の公開分への修正版
- ホスト型の更新
- 検証コードに関連するスキャン
さらに2件
- 侵害の指標
- 11月12日の勧告の記述
可能性があるとされた項目
- HF2を当てたサーバーの侵害
- 悪用の内容
- 未確認事項
- 新しい連鎖に対する追加の修正版（N-ableは「追加の修正版を出す」と予告。公開日は書かれていない）
- 侵害された台数と顧客の数（N-ableは公表していない。21台以上は企業Aの報告）
- 侵害後に顧客の端末へ波及したかどうか（確認した範囲で報告なし）
さらに1件
- ホスト型で止められている機能とIntune連携の再開時期
- 今やること手順を見る ↓
- サーバーの版を確かめ、修正版HF2を当てる
- 旧API（Legacy API）が無効かを確かめる
- 管理画面とAPIをインターネットに出していないか確かめる
さらに3件
- 侵害されていないかを確かめる
- Intune連携を使っている場合は、停止を把握する
- 状況ページを見張り、追加の修正版が出たら当てる
- 確認先（出典）出典の一覧 ↓
- N-able「Status Dashboard（N-central Critical Security Incident ほか。2026年11月13日 23:59 UTC更新）」（公式の状況ページ。英語。11月14日に確認）
- 最終確認日時
- 2026年11月14日時点
発表の続報予定と確認の記録
N-ableは、状況ページで「安全な復旧に向けて進めており、調査は最優先」「状況は変化している。更新はこのページで案内する」と書いています。2026年11月14日に確認した状況ページの最終更新は、11月13日 23:59 UTCでした。
N-centralの管理者が今日やること
サーバーの版を確かめ、修正版HF2を当てる
N-ableは11月10日に、N-central 2026.4 HF2（ビルド2026.4.1.26）を出しました。XXE、OGNLインジェクション、権限昇格、ファイルアップロード経由の遠隔コード実行など、7件のCVE（CVE-2026-125878〜125883とCVE-2026-91000）への対応を含みます。
- ホスト型：N-ableが全地域のサーバーを更新済み（11月11日 01:04 UTC）。サーバー側の作業は不要
- オンプレミス：サーバーをHF2に上げる。直接上げられる元の版は、2025.4、2026.1、2026.2、2026.3、2026.3.1（HF1〜4）、2026.4（ビルド.27）、2026.4 HF1（ビルド.32）。これより古い版は、N-ableの更新手順で先に対応する版へ上げる
- 全員：エージェントとプローブも更新する。順序は、エージェントを先、プローブを後。プローブを先に上げると、エージェントとの通信が一時的に切れる
- HF2では、内蔵のリモート操作が一時的に使えない（Take Controlは使える）
旧API（Legacy API）が無効かを確かめる
N-ableは11月12日の勧告で、オンプレミスの顧客に「旧APIが無効であることを確認する」よう求めています。既定では無効で、有効にしている場合は、同社の案内「How to Disable Legacy API settings on On-Premises N-central servers」に従って無効にします。ホスト型は、同社が旧APIを既定で無効にしました。
どうしても旧APIが必要なら、インターネットに出さない構成にします。企業Bは、攻撃を受ける経路がエージェントとプローブが接続する経路と同じため、IPアドレスの許可リストだけに頼らないよう注意しています。
管理画面とAPIをインターネットに出していないか確かめる
N-centralのサーバーは、管理下の端末すべてにスクリプトを実行できるため、侵害されたときの影響が大きい基盤です（一般に言えること）。外から管理画面に届く必要がなければ、VPNの内側に置きます。エージェントとプローブが接続する通信は、必要な範囲だけを許可します（当サイトの見解）。
N-ableは、HF2を当てるまでオンプレミスのサーバーを止めておくよう案内していました（11月11日のブログ）。11月12日には「N-centralを止めることは勧めていない」としています。自社が既にHF2を当て、旧APIを無効にしているかで判断が変わるため、状況ページの最新の案内を読んでください。
侵害されていないかを確かめる
- N-ableが状況ページ（11月13日 13:40 UTCの更新）に載せた侵害の指標（URL、通信先のIPアドレスとポート）と、ファイアウォールとサーバーの記録を照らし合わせる。指標は旧APIを無効にしていない顧客向けのもの
- 企業Bの案内（11月13日時点）：11月11日以降の、覚えのない管理者アカウント、スクリプト、スケジュールされたタスク、リモートセッションを探す。Windowsの端末では、N-ableのエージェントやプローブを起点にした予期しないPowerShellやcmd.exeの実行と、Windows Software Probeサービスの予期しない再起動を見る
- 疑わしい形跡があれば、N-ableのサポートに連絡し、インシデント対応の担当を呼ぶ。MSPは、管理下の顧客の環境への影響も評価する
Intune連携を使っている場合は、停止を把握する
N-ableは、11月12日の勧告で、予防措置としてIntune連携を止めました（ホスト型は同社が止め、オンプレミスは同社が止められなかった場合にサポートから連絡する）。再開の時期は書かれていません。連携に頼る運用があれば、代わりの手順を用意します。
状況ページを見張り、追加の修正版が出たら当てる
同社は、追加の修正版を出すとしています。状況ページ（uptime.n-able.com）の通知を購読し、公開されたらHF2の上に当てます。修正版が出るまでは、上の旧API無効化と公開範囲の制限が主な防御です。
何が起きたのか（N-ableの発表と報道より）
以下の「N-ableの発表」は、同社の状況ページ・リリースノート・ブログにもとづく同社自身の説明です。時刻はUTC。セキュリティ企業の情報は、企業A（報道が引く企業）と企業B（出典のブログの企業）に分け、出典を示します。
11月9日
独立した研究者が、N-centralの多数の脆弱性と検証コードを公開した（N-ableのブログによる。通称Able2Shell）。11月9日
N-ableがホスト型のN-centralを止め、オンプレミスの顧客にサーバーを止めておくよう案内した（状況ページ）。11月10日
修正版N-central 2026.4 HF2（ビルド2026.4.1.26）を公開した（リリースノート）。11月11日
ホスト型の全地域の更新を終えた（01:04）。ブログで、検証コードに関連するスキャンを観測しているが、ホスト型に侵害の兆候はない、追加の修正版を出す、と案内した。11月11日夜〜12日
研究者が、HF2に対する別の検証コードを公開した（公開日は報道で11月11日夜と12日に分かれる）。11月12日
N-ableは勧告で、旧APIの無効化の確認、Intune連携の停止などの予防措置を案内し、新しい脆弱性について、その時点で侵害の兆候は見ていないと書いた（16:00）。報道によれば、企業Aは、同日、21台の採掘ソフトの稼働を確認した。11月13日
N-ableが、指標が見つかった顧客と個別に対応していると更新し（03:50）、旧APIを無効にしていない顧客向けの侵害の指標を公表した（13:40）。
- 修正版
- N-central 2026.4 HF2（ビルド2026.4.1.26）。CVE-2026-125878（OGNLインジェクション）、125879（rootへの権限昇格）、125880（保存型XSS）、125881（SSRF）、125882（ファイルアップロード経路の遠隔コード実行）、125883（XXE）、91000（安全でないプロセス間通信による権限昇格）。旧式のMDMを削除し、エージェントとプローブの通信方式を変更
- 既知の問題
- 内蔵のリモート操作を一時的に無効化（Take Controlは使える）。将来の修正で戻す
- 悪用に関する認識
- 検証コードに関連するスキャンを観測（状況ページ）。11月12日の勧告は、新しい脆弱性について、その時点で侵害の兆候は見ていないという内容。11月13日に、指標を確認し、該当する顧客と個別に対応していると更新。台数は書かれていない
- 予防措置（11月12日）
- ホスト型：旧APIを既定で無効、Intune連携を停止。オンプレミス：旧APIの無効を確認し、Intune連携は同社が停止（できなければサポートから連絡）
- 侵害の指標
- 11月13日 13:40 UTCの更新で公表。旧APIを無効にしていない顧客向け（URL、通信先のIPアドレスとポート）。本記事には載せない
- 追加の対応
- 追加の修正版を出す予定（11月11日のブログ）。日付は書かれていない
- 窓口
- N-ableのテクニカルサポート
分かっていること・分かっていないこと
2026年11月14日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 最初の公開分への修正版 | HF2（ビルド2026.4.1.26）。7件のCVE | 確認済み（N-able） |
| ホスト型の更新 | 全地域でHF2に更新済み | 確認済み（N-able） |
| 検証コードに関連するスキャン | 観測している | 確認済み（N-able） |
| 侵害の指標 | 旧APIを無効にしていない顧客向けに公表。該当顧客と個別に対応 | 確認済み（N-able） |
| 11月12日の勧告の記述 | 新しい脆弱性について、その時点で侵害の兆候は見ていない | 確認済み（N-able。11月12日時点の記述。13日に指標を確認したと更新） |
| 侵害された台数 | 書かれていない。21台以上は企業Aの報告（報道） | 記載なし（N-able）／報告あり（企業A） |
| HF2を当てたサーバーの侵害 | 21台のうち19台がHF2（企業Aの報告） | 可能性（報道。N-ableの確認は見当たらない） |
| 悪用の内容 | 暗号資産の採掘ソフトの設置（企業Aの報告） | 可能性（報道） |
| 企業Bの観測 | 11月13日 10:25（米東部時間）時点で、自社のパートナー環境での悪用は未観測 | 確認されていない（企業B） |
| 旧APIの設定 | 企業Bは、新しい連鎖も旧APIの有効が前提だと11月13日に確認したと書いている。侵害されたサーバーの旧APIの設定は報告されていない | 記載なし |
| 顧客の端末への波及 | 報告は見当たらない | 記載なし |
| 新しい連鎖への修正版とCVE | 追加の修正版は予告のみ。報道はCVE-2026-90436を挙げる。N-ableの公式ページには見当たらない | 調査中 |
読み方の注意：N-ableの記述と企業Aの報告は、時点と対象が違う
N-ableの11月12日の勧告は、新しい脆弱性について、その時点で侵害の兆候は見ていないという内容で、13日には指標を確認したと更新しています。21台以上というのは、企業Aが採掘ソフトの稼働を数えた結果で、報道を通じて確認したものです。当サイトは、N-ableの公式ページで、この台数を見つけられていません。企業Bは、自社のパートナー環境での悪用を観測していないとしています。N-ableの公式ページは自動取得できないため、内蔵ブラウザで読んで確認しました。
管理サーバーが侵害されると、何が起きうるか
以下は一般に言えることで、今回これらが起きたという意味ではありません。今回起きたと報じられているのは、暗号資産の採掘ソフトの設置です。
N-centralのようなリモート管理ソフトは、管理下の端末にスクリプトの実行やソフトの配布ができます。そのため、サーバーが乗っ取られると、採掘ソフトの設置にとどまらず、管理下の顧客の端末に不正なソフトが配られたり、管理者の資格情報が盗まれたりしうる、というのが一般的な懸念です。MSPの場合、1台の侵害が、複数の顧客に及びえます。同じ種類のリモート管理ソフトの事案は ScreenConnectの第三者の拡張機能が悪用された可能性 にまとめています。
リモート管理基盤の運用者が見直すこと
本節は特定の組織の対応を評価するものではなく、侵害の技術的な内容も推測しません。同社の案内から、当サイトの見解として、自社の構成で確かめる点に絞ります。
リモート管理ソフトを最重要の資産として扱う
管理サーバーは、全顧客の端末に届く権限を持つため、本番のサーバーより厳しく扱います。管理画面とAPIは、VPNか、接続元を厳しく絞ったネットワークの内側に置き、使っていない機能（今回なら旧API）は無効にします（当サイトの見解）。
修正版の適用を、公開から数時間から数日のうちに終えられる体制にする
今回は、修正版の公開後に、別の検証コードが公開されました。更新の順序（エージェント、プローブ、サーバー）と、更新できない期間の暫定の防御（機能の無効化、ネットワークの制限）を、事前に決めておきます（当サイトの見解）。
管理サーバーから外への通信を絞り、記録を残す
侵害後は、管理サーバーが外部から道具を取り込みます。サーバーからの外向きの通信を必要な宛先に絞り、記録を長く残すと、N-ableの指標のような情報で後から確かめられます（当サイトの見解）。
管理者アカウントと、管理下の端末での実行を監視する
覚えのない管理者アカウントの作成、スクリプトの追加、管理ソフト起点の予期しないコマンドの実行を、EDRやログの警告で気づけるようにします。企業Bも、同様の点を確認するよう案内しています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順と侵害の指標の詳細は扱っていません。
- N-able「Status Dashboard（N-central Critical Security Incident ほか。2026年11月13日 23:59 UTC更新）」（公式の状況ページ。英語。11月14日に確認） — uptime.n-able.com
- N-able「N-central 2026.4 HF2 Release Notes」（公式のリリースノート。英語。11月10日更新。11月14日に確認） — status.n-able.com
- N-able「Update on N-central 2026.4 HF2 and ongoing security response」（公式ブログ。英語。2026年11月11日。11月14日に確認） — n-able.com
- 企業Bのブログ「N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains」（英語。11月13日更新。11月14日に確認） — huntress.com
- BleepingComputer「N-able N-central zero-day exploited hours after PoC released」（報道。英語。11月12日。11月14日に確認。21台の報告の出所。当サイトは企業Aの元の報告を確認できていない） — bleepingcomputer.com
更新履歴
2026-11-14：初版。N-ableの公式の状況ページ・リリースノート・ブログを正本とし、侵害の台数は企業Aの報告（報道経由）として区別して書いた。続報が出たら更新する。
次に読む
- 同じ種類のリモート管理ソフトの事案：ScreenConnectの第三者の拡張機能が悪用された可能性（2026年11月）
- アカウントを守る：多要素認証ガイド
- ほかの2026年の事案：2026年の情報漏洩・サイバー攻撃まとめ