RMM の N-central に 30 件超のゼロデイ公開：止める、そして 11/8 以降のログインと管理者追加を確かめる
端末を遠隔管理する N-able の「N-central」で、認証回避・認証情報漏えい・任意ファイル書き込み・XXE・RCE などの未修正脆弱性 30 件超と実証コード「Able2Shell」が GitHub で公開された（2026-11-08 米国時間）。N-able はホスト型を停止し、オンプレ版にも停止を要請している。
なぜ急ぐか
- RMM は顧客や社内の全端末にコマンドを配れる。乗っ取られると一括でランサムウェアを配られる。
- 実証コードが公開済みで、修正（ホットフィックス）は開発・検証中、復旧時期は未定。発見には AI が使われた。
- 検証はプレリリース版 2026.4.0.31 で行われたが、旧版も影響を受けるとみられている。
対応
- オンプレの N-central サーバーは N-able の案内があるまで停止する。 停止できない事情があっても、インターネットからの到達を遮断する。
- 委託先の MSP が N-central を使っていないか確認する。 自社で使っていなくても、MSP 経由で自社端末が管理されている場合がある。
- 2026-11-08 以降の記録を確認する。
- N-central への管理者ログイン、見覚えのない管理者アカウントの追加
- N-central から端末へ配られたスクリプト・ジョブ
- 端末側では、N-central エージェント経由で起動されたプロセスや新しいサービスを EDR で確認する。
- ホットフィックス公開後は、適用してから再開する。再開前にサーバー上の不審ファイル（Web シェル）を点検する。
関連
出典
- @MalwareBibleJP · 2026-11-10
- BleepingComputer bleepingcomputer.com