SolarWindsは、自社のWeb Help Desk(WHD)プラットフォームに存在する深刻度「高」のサービス拒否脆弱性を修正しました。この脆弱性を悪用されると攻撃者にサーバーのメモリを枯渇させられ、システムがクラッシュし、影響を受ける環境全体でITサービス管理業務が停止する恐れがありました。
CVE-2026-28299として追跡されているこの脆弱性のCVSSスコアは8.2で、SolarWinds Web Help Deskに影響します。原因はリソース割り当ての不備にあり、攻撃者はこれを突いてメモリベースのサービス拒否(DoS)状態を引き起こすことができます。
悪用に成功すると、メモリ不足によりWHDサーバーがクラッシュし、サービス停止や業務の中断につながる可能性があります。
この問題は、2026年7月30日にリリースされたWHD 2026.2.1で開示されました。このリリースには複数のセキュリティ脆弱性の修正に加え、アーキテクチャおよびセキュリティ面の改善も含まれています。
SolarWindsによると、この脆弱性は特別に細工したリクエストを送信することで悪用され、アプリケーションに過剰なメモリを消費させることが可能だといいます。
こうした制御されないメモリ使用は時間の経過とともにパフォーマンス低下を招き、やがてアプリケーションの不安定化、あるいはサービスの完全な停止につながります。
リモートコード実行には関与しないものの、可用性への影響という点で、チケット管理やサービスワークフローをWHDに依存する組織にとっては無視できないリスクといえます。
今回のリリースでは、深刻な認証関連の問題であるCVE-2026-28323にも対処しています。これはCVSSスコア9.8のSAML認証バイパス脆弱性です。
この脆弱性はSAML 2.0を利用した導入環境に影響し、特定の設定下では不正アクセスを許してしまう可能性があります。未パッチのシステムが抱えるリスクをさらに増大させる要因となります。
WHD 2026.2.1では、パフォーマンスとセキュリティ体制の両方を改善するため、アーキテクチャが刷新されました。特筆すべき変更点として、従来のTomcatベースのフロントエンドがCaddy Webサーバーに置き換えられ、HTTPSの強制、最新のTLS設定、リクエスト処理の改善が標準機能として提供されるようになりました。
現在このプラットフォームはTLS 1.2および1.3を強制し、旧式プロトコルのサポートを廃止したほか、一般的なWeb攻撃を緩和するためセキュリティヘッダーをデフォルトで適用します。さらに、内部サービスがネットワークに公開されなくなったことで、攻撃対象領域も縮小されています。
刷新されたアーキテクチャでは、アプリケーションがHTTPサーバー、バックエンド、フロントエンド、データベースといった個別のコンポーネントに分割され、それぞれが独立して管理されることで、耐障害性と障害の局所化(フォールトアイソレーション)が向上しています。
今回のリリースでは、pgAdminに影響する複数のサードパーティ製脆弱性の修正も取り込まれており、リモートコード実行、コマンドインジェクション、LDAP関連の問題が対象となっています。
SolarWinds Web Help Deskを利用している組織は、これらのリスクを軽減するため、直ちにバージョン2026.2.1へアップグレードすることが強く推奨されます。
未認証のDoS攻撃によって業務上重要なヘルプデスク業務が停止しかねないことを踏まえると、パッチ適用を先延ばしにすれば、サービスのダウンタイムや業務への悪影響を招く恐れがあります。
セキュリティチームは、認証設定、特にSAML連携の見直しに加え、悪用の試みを示唆する可能性がある異常なメモリ消費パターンがないか、システムを監視することも求められます。
SOC調査の死角を減らすとともに脅威をより早期に封じ込め、ANY.RUNで対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/solarwinds-web-help-desk/
