--- title: "N-able N-central に認証なしでコードを実行される脆弱性（CVE-2026-86218）: CVSS 9.8、CISA KEV に追加済み" url: https://n-t-p.io/worldsecurity/articles/n-able-n-central-cve-2026-86218-pre-auth-rce-kev lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-86218 --- # N-able N-central に認証なしでコードを実行される脆弱性（CVE-2026-86218）: CVSS 9.8、CISA KEV に追加済み > **TL;DR:** N-able N-central に、認証なしでリモートからコードを実行される脆弱性（CVE-2026-86218、CVSS v3.1 9.8）。2026.3.1.14 より前が対象で、CISA KEV に 2026-09-08 追加済み（EPSS 0.154）。ホットフィックスを適用し、更新前に侵害の有無を確認する。 **要点** - CVE-2026-86218: N-central の静的コードインジェクション（CWE-96）で、認証前にリモートコード実行が可能 - 2026.3.1.14 より前が対象。NVD の CVSS v3.1 は 9.8（AV:N/PR:N/UI:N）、Analyzed - CISA KEV に 2026-09-08 追加（期限 09-11）。フォレンジック調査の対象、ランサム利用は不明、EPSS 0.1539 - 悪用の規模と攻撃手順は未確認。ホットフィックスを適用し、管理サーバーの侵害有無を点検する N-able のリモート監視・管理ツール「N-central」に、認証なしでリモートからコードを実行されるおそれのある脆弱性（CVE-2026-86218、CWE-96: 静的コードインジェクション）が公表されました。CISA は 2026-09-08 にこの脆弱性を KEV（悪用が確認された脆弱性）カタログへ追加しています。NVD の CVSS v3.1 は 9.8（Critical、AV:N/PR:N/UI:N）で、2026.3.1.14 より前の版が対象です。ベンダーは 2026.3 のホットフィックスを案内しています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-86218（2026-09-06 公開） | | 問題 | 静的コードインジェクション（CWE-96）。認証前にリモートコード実行が可能 | | 影響を受ける版 | N-central 2026.3.1.14 より前 | | CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の評価 | | CVSS v4.0 | 10.0（採番元 N-able の評価） | | NVD の状態 | Analyzed | | EPSS | 0.1539（パーセンタイル 0.968、2026-11-02 時点） | | CISA KEV | 2026-09-08 追加。対応期限 2026-09-11。ランサムウェア利用は「不明」。フォレンジック調査の対象（Forensic Triage: Yes） | ## なぜ重要か N-central は、複数の顧客環境の端末やサーバーをまとめて管理する製品です。管理サーバーが乗っ取られると、そこから管理下の多数の端末に影響が及ぶおそれがあります。認証が不要でネットワーク越しに攻撃でき、すでに悪用が確認されているため、インターネットから到達できる N-central は優先して対処する対象です。 ## 対策 - 自組織の N-central の版を確認し、2026.3.1.14 より前であれば、N-able が案内する 2026.3 のホットフィックスを適用する。 - 更新が遅れる場合は、N-central の管理画面へのアクセスを VPN や許可した IP アドレスに限定し、インターネットへの直接公開を避ける。 - KEV の対応期限（2026-09-11）はすでに過ぎている。CISA はフォレンジック調査の実施を求めているため、更新前に侵害されていないかを確認する。管理サーバー上の不審なプロセス、見覚えのないファイルやアカウント、管理下の端末へ配布された不審なスクリプトやソフトウェアが点検の対象になる。 - 管理サーバーに保存された資格情報や API キーは、侵害の疑いがあれば更新する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD | Analyzed。CVSS v3.1 9.8（NVD）、CVSS v4.0 10.0（N-able） | | CWE | CWE-96 | | EPSS | 0.1539（FIRST、2026-11-02） | | KEV | 2026-09-08 追加、期限 2026-09-11 | | 出典 | NVD、N-able セキュリティ勧告、CISA KEV、FIRST | ## 未確認の点 - 悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV では「不明」）。 - 脆弱なコードの具体的な場所と攻撃手順。N-able の勧告本文は取得時点では確認できていません。 - ホットフィックスの正確な適用手順と、クラウド版・オンプレミス版での扱いの違い。 ## 出典 - [NVD CVE-2026-86218](https://nvd.nist.gov/vuln/detail/CVE-2026-86218) — NIST NVD - [N-able セキュリティ勧告 CVE-2026-86218](https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-execution) — N-able - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-86218) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-86218) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/n-able-n-central-cve-2026-86218-pre-auth-rce-kev