N-able N-central に認証なしでコードを実行される脆弱性（CVE-2026-86218）: CVSS 9.8、CISA KEV に追加済み

N-able のリモート監視・管理ツール「N-central」に、認証なしでリモートからコードを実行されるおそれのある脆弱性（CVE-2026-86218、CWE-96: 静的コードインジェクション）が公表されました。CISA は 2026-09-08 にこの脆弱性を KEV（悪用が確認された脆弱性）カタログへ追加しています。NVD の CVSS v3.1 は 9.8（Critical、AV:N/PR:N/UI:N）で、2026.3.1.14 より前の版が対象です。ベンダーは 2026.3 のホットフィックスを案内しています。

概要

項目	内容
CVE	CVE-2026-86218（2026-09-06 公開）
問題	静的コードインジェクション（CWE-96）。認証前にリモートコード実行が可能
影響を受ける版	N-central 2026.3.1.14 より前
CVSS v3.1	9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の評価
CVSS v4.0	10.0（採番元 N-able の評価）
NVD の状態	Analyzed
EPSS	0.1539（パーセンタイル 0.968、2026-11-02 時点）
CISA KEV	2026-09-08 追加。対応期限 2026-09-11。ランサムウェア利用は「不明」。フォレンジック調査の対象（Forensic Triage: Yes）

なぜ重要か

N-central は、複数の顧客環境の端末やサーバーをまとめて管理する製品です。管理サーバーが乗っ取られると、そこから管理下の多数の端末に影響が及ぶおそれがあります。認証が不要でネットワーク越しに攻撃でき、すでに悪用が確認されているため、インターネットから到達できる N-central は優先して対処する対象です。

対策

• 自組織の N-central の版を確認し、2026.3.1.14 より前であれば、N-able が案内する 2026.3 のホットフィックスを適用する。
• 更新が遅れる場合は、N-central の管理画面へのアクセスを VPN や許可した IP アドレスに限定し、インターネットへの直接公開を避ける。
• KEV の対応期限（2026-09-11）はすでに過ぎている。CISA はフォレンジック調査の実施を求めているため、更新前に侵害されていないかを確認する。管理サーバー上の不審なプロセス、見覚えのないファイルやアカウント、管理下の端末へ配布された不審なスクリプトやソフトウェアが点検の対象になる。
• 管理サーバーに保存された資格情報や API キーは、侵害の疑いがあれば更新する。

数値と出典（2026-11-03 時点）

項目	内容
NVD	Analyzed。CVSS v3.1 9.8（NVD）、CVSS v4.0 10.0（N-able）
CWE	CWE-96
EPSS	0.1539（FIRST、2026-11-02）
KEV	2026-09-08 追加、期限 2026-09-11
出典	NVD、N-able セキュリティ勧告、CISA KEV、FIRST

未確認の点

• 悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV では「不明」）。
• 脆弱なコードの具体的な場所と攻撃手順。N-able の勧告本文は取得時点では確認できていません。
• ホットフィックスの正確な適用手順と、クラウド版・オンプレミス版での扱いの違い。