N-central脆弱性2件、修正版26.4.1が公開済み
N-able N-centralの26.4.1より前の版に、XXEとSSRFの重大な脆弱性が2件公表されました。N-centralを運用する企業やMSPは、修正版の26.4.1へ早めに更新してください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-125883 重大 9.3
- CVE-2026-125881 重大 9.3
急ぎ度: 早めに
2件ともCVSS v4が9.3のcriticalで、修正版26.4.1がすでに公開されているためです。
関係があるか
N-centralを自社で運用している企業と、顧客の端末管理にN-centralを使うMSPが対象です。26.4.1より前の版を使っていれば、2件とも当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| N-able N-central | 26.4.1より前のすべての版 | 26.4.1 |
確かめ方
- 1N-centralの管理コンソールで、現在稼働している版を確認します。26.4.1より前なら対象です。
- 2N-ableがホストする環境を使っている場合は、更新の状況をN-ableに問い合わせて確認します。
- 3管理コンソールやサーバーがインターネットから到達できる状態かどうかも、あわせて洗い出します。
何が起きたか
N-able N-centralの26.4.1より前の版に、XML関連の処理とサーバー側の通信まわりで、重大な脆弱性が2件見つかりました。悪用されると、N-centralのサーバーが意図しない参照や通信をさせられ、サーバー内部や社内ネットワークの情報が外に出たり、内容を書き換えられたりするおそれがあります。N-ableは2026年11月10日に公表し、2件とも26.4.1で修正されています。
- CVE-2026-125883: XML外部エンティティ参照の制限が不十分で、XMLスキーマを細工した入力を通じて意図しない参照を許してしまう、XXEの脆弱性です（CWE-611、CVSS v4は9.3）。
- CVE-2026-125881: サービスのインポート時に行うスキーマの検証で、サーバーが意図しない宛先へ要求を送らされる、SSRFの脆弱性です（CWE-918、CVSS v4は9.3）。
攻撃の流れ
-
1
サーバーへ到達
攻撃者がN-centralのサーバーに通信できる位置を確保します。
-
2
細工した入力
不正な参照や宛先を含むXML関連のデータを、N-centralに処理させます。
-
3
意図しない動作
サーバーが外部エンティティを読み込んだり、攻撃者の指定した宛先へ要求を送ったりします。
-
4
情報の漏えい・改ざん
サーバーや社内ネットワークの情報が読み取られ、内容を書き換えられるおそれがあります。
どう悪用されるか
CVE-2026-125883のXXEは、CVSS v4のベクターで、ネットワーク経由で攻撃でき、事前の認証も利用者の操作も要らない評価です。攻撃の複雑さは低く、前提となる特別な条件もありません。機密性と完全性への影響は高く、可用性への影響は低いとされています。
CVE-2026-125881のSSRFは、同じ9.3の評価ですが、認証や操作が要るかといった前提条件までは断定できません。N-ableの告知で確認が必要です。悪用された場合、N-centralのサーバーが外部や社内の別のシステムへ要求を送る踏み台になるおそれがあります。
今すぐやること
-
1
稼働中の版を確認する
管理コンソールで版を確認し、26.4.1より前なら更新の対象です。複数の環境を運用しているなら、全環境を洗い出します。
-
2
26.4.1に更新する
2件とも26.4.1で修正されているため、更新すれば両方に対応できます。公開から日が浅いので、告知の更新手順と注意事項を読んでから、メンテナンスの時間を押さえて適用します。インターネットから到達できる環境は優先して進めます。
-
3
N-ableの告知で前提条件を確認する
SSRFの悪用条件や、更新時の追加作業の有無をN-ableの告知で確認します。ホスト環境を使っている場合は、N-ableの案内も見ておきます。
-
4
更新後にログを見直す
公表前から対象の版を外部公開していた環境では、サーバーの通信ログに、身に覚えのない宛先への外向き通信や不審なリクエストが残っていないかを確認します。
すぐ更新できないとき
回避策は確認できていないため、修正版への更新が基本です。更新まで時間がかかる場合は、N-centralのサーバーへのアクセス元をVPNや管理用ネットワークに絞り、サーバーからの外向き通信も必要な宛先だけに制限して、リスクを下げます。これは根本的な対策ではなく、更新までのつなぎです。
背景
N-centralは、MSPや社内の情報システム部門が、多数の端末やサーバーを一か所から監視・管理するためのリモート監視管理（RMM）基盤です。管理対象に広く触れられる仕組みなので、サーバーが操作されたときの影響は、1台の機器にとどまりません。今回の2件も、管理サーバーそのものが対象です。
XXEとSSRFは、どちらもWebアプリケーションの代表的な脆弱性です。OWASP Top 10の2017年版ではXXEが独立した項目になり、2021年版ではSSRFが加わりました。今回はN-centralのXML関連の処理と、サービスのインポート時のスキーマ検証がそれぞれ関わっています。外部から受け取ったXMLの扱いが、そのままサーバーの読み出しや通信につながる点が共通しています。
よくある質問
Q.N-ableが運用する環境を使っている場合も、自分で更新が必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| N-ableN-central |
26.4.1 未満→ 26.4.1 |
26.4.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper restriction of XML external entity reference vulnerability in N-able N-central allows XML Schema Poisoning.
This issue affects N-central: before 26.4.1.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web me.n-able.com