要点
- IT 管理ツール N-central のサーバー21台が、外部から乗っ取られ、暗号資産のマイニングに使われていた。
- そのうち19台は、直したはずの「Hotfix 2」を当てた後の版だった。当てただけでは安心できない。
- N-central は顧客の端末を丸ごと管理する道具だ。乗っ取られると、委託先を通じて多くの顧客に被害が広がりうる。
何が起きたか
セキュリティ企業の Huntback は、2026年11月12日（UTC）の観測を公表した。N-central のサーバー21台が、Monero（暗号資産）の採掘プログラムを動かしていたという。Huntback は、同じ攻撃者の IP から、おとり用に置いた N-central への探りと攻撃が来たことも確認している。
21台の内訳は、米国9、南アフリカ4、カナダ4、英国・ドイツ・フランス・スウェーデンが各1。Azure や AWS などのクラウド、MSP（顧客の IT を請け負う事業者）のネットワークにも及ぶ。うち3台は、ある MSP の同じアドレス帯にあった。
大きな点は、パッチの効き目だ。N-able は11月10日に 2026.4 Hotfix 2（ビルド 2026.4.1.26）を出した。Huntback によると、感染した21台のうち19台がこのビルドで、残る1台は古い 2025.3.1.9 だった。Huntback は「Hotfix 2 を当てても守れなかった」と書く。
使われた欠陥は、4EverAble2Shell と呼ばれる。研究者が公開した。認証なしで外から命令を実行でき、さらに管理者権限（root）まで取られるとされる。Previdian は危険度を CVSS 9.8（最高は10）と評価し、2026.4.1.26 で成功したという報告を載せた。ただし、影響を受ける版の全範囲は確認されていない。Previdian は、この欠陥全体にはまだ CVE 番号が付いていないとしている。一方、The Hacker News は、攻撃が連鎖させる欠陥のうち Apache Axis の重大な欠陥に CVE-2026-90436（CVSS 9.8）があると報じた。Huntback は、攻撃が成り立つのは旧 API（Legacy API）が有効なときだと、公開情報を引いて書いている。
Huntback によると、確認できた悪さはマイナーの設置だけだった。ただし攻撃者は、もっと広い権限を取れることを示している。Huntback は、1台でも当たれば全面的な侵害として扱うよう勧める。
N-able は、The Hacker News が伝えた声明で、予防として一部の機能や連携を制限していると述べた。Hosted 環境では旧 API を初期状態でオフにし、Intune 連携を止めた。追加の対策は作業中という。
日本の利用者への影響
Huntback が示した21台の内訳に、日本は含まれない。ただし Huntback によると、N-central のログイン画面を出していた20台の多くは、MSP 自身のブランドだった。日本の委託先や自社運用が使っている可能性はある。自分の環境が対象かは、委託先に聞くのが早い。
今すぐやること
- N-central を自社で運用しているか、委託先が使っているかを確かめる。委託先には、自社の端末が管理対象かも聞く。
- 旧 API（Legacy API）がオフか確認する。N-able は、自社運用の顧客にも「オフであることを確かめる」よう求めている。Huntback は、修正が出るまでオフのままにするよう勧める。
- Hotfix 2 を当てた後でも、侵入の跡を調べる。下の一覧を使う。1つでも当たれば、サーバーを作り直すつもりで調べる。
- 管理サーバーを、インターネットから見える範囲を絞る。信頼できる場所からだけ届くようにする。
- N-able の状況ページと、Agent・Probe（管理対象側のソフト）の更新案内を見る。N-able は、Hosted 環境の 2026.4 HF1 以降で両方の更新が必須だと述べたとされる。
背景
IT 管理ツールは、多数の端末に命令を出せる。そのため、攻撃者にとって当たりの大きい標的だ。過去にも Kaseya VSA が侵害され、顧客に広がった事件がある。
今回は、欠陥の公開から攻撃までが速かった。Huntback によると、攻撃コードは11月12日の03:58（UTC）に公開され、約4.5時間後に最初の探りが来た。この攻撃者の採掘機は、N-central 以外にも Jpom、FreePBX、MLflow などで計631台あった。N-central だけを狙った者ではなく、広く欠陥を探す者とみられる。この見方は記者のものだ。
技術者向けの詳細
出典: Huntback、Previdian。以下は Huntback が示した侵入の跡。
- 版: 2026.4.1.26（HF2）でも感染。Previdian は修正済みビルドを確認していない。
- 攻撃元 IP:
157.20.241[.]16（8080 と TCP 19202〜19418）、139.99.69[.]109:10128、79.76.51[.]56:39100 - 取得 URL:
/jup.sh、/xvgz、/xmrig.tgz、/ob/cronhit、/ob/fcheck（上の IP の 8080） - SHA-256:
fc4c01fd11bc301cf312830460cfdccc3af9dcfe50c910b86d6a1117bc76c747 - ログ:
/dms/services/ServerUIへの POST。SOAP fault にjline.internal.TerminalLineSettings。User-Agent はpython-requests/2.31.0 - ファイル:
/tmp/.xvd/、/var/tmp/.xvd/、/var/opt/n-central/tmp/serverchild-*、/var/opt/n-central/flag/flag_default.jsonのシンボリックリンク - 常駐:
/etc/systemd/system/xvd.service、/etc/cron.d/xvd、crontab の# xvkeep - プロセス: コマンドラインに
--rig-id nc_や--donate-level 1 - 暫定対策: Huntback は Legacy API を無効のまま保つよう勧める。Previdian によると、仮想パッチ（WAF ルール）は現時点で提供されておらず、今後 ModSecurity、Cloudflare、AWS WAF 向けに出す予定という。
