2026-11-14
N-able N-centralの脆弱性が、公開された検証コードの直後に悪用された疑い（2026年11月）：21台以上が侵害されたと報道、N-ableは修正版の適用と旧APIの無効化を案内。管理者がやること
N-ableは、独立した研究者が2026年11月9日に公開した多数の脆弱性（N-ableのブログによる。通称Able2Shell）への対応として、ホスト型のN-centralを11月9日に止め、11月10日に修正版N-central 2026.4 HF2（ビルド2026.4.1.26）を出した。同社の状況ページは、公開された検証コードに関連するスキャンを観測したと書き、11月12日の勧告で、旧API（Legacy API）の無効化の確認と、Intune連携の一時停止を案内した。11月13日（UTC）には、旧APIを無効にしていない顧客向けの侵害の指標（IOC）を公表し、指標が見つかった顧客と個別に対応しているとしている。侵害の台数は同社の公式ページに書かれていない。一方、報道によれば、あるセキュリティ企業（企業A）は、11月11日夜〜12日（報道で分かれる）に公開された別の検証コードの後に、少なくとも21台の本番のN-centralサーバー（うち19台はHF2）が侵害され、暗号資産の採掘ソフトが入れられたと報告している。この新しい連鎖への修正版は、確認した範囲で未公表で、同社は追加の修正版を予告している。同社の11月12日の「侵害の兆候は見ていない」は、新しい脆弱性についての、その時点の記述である。当サイトの見解：版の確認だけでなく、旧APIの無効化、管理画面の公開範囲、侵害の確認を、今日のうちに済ませる。