SolarWinds Dameware に重大な脆弱性、攻撃者がリモートシステムを制御可能に

SolarWinds は、同社のリモートサポートソフトウェア Dameware に重大なコマンドインジェクションの脆弱性が存在することを公表しました。認証済みの攻撃者が、管理対象のホストを遠隔から乗っ取る恐れがあります。

この脆弱性は CVE-2026-28336 として識別されており、CVSS スコアは 9.9 です。影響を受けるのは Dameware 2026.3 およびそれ以前のすべてのバージョンです。SolarWinds は修正版となる 2026.3.1 をリリースしました。該当するバージョンを利用している組織は、優先的にアップデートする必要があります。

同社は 2026年11月3日にセキュリティアドバイザリを公開しました。この脆弱性を発見したのは、Boeing Enterprise Security Red Team の Greg Bernatowicz 氏だとしています。

Security software

公式のセキュリティアドバイザリによると、攻撃が成功した場合、ホストを遠隔操作される可能性があります。攻撃には認証が必須だと明記されており、認証なしでアクセスできる脆弱性とは区別されます。

SolarWinds Dameware の脆弱性

SolarWinds が示すベクターは CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H です。この評価は、ネットワーク経由で悪用でき、攻撃の複雑さは低く、必要な権限も低く、ユーザーの操作も不要であることを示しています。

スコープは「変更あり」とされており、脆弱なセキュリティ権限の範囲を超えてリソースに影響が及ぶ可能性があります。機密性、完全性、可用性への影響は、いずれも「高」と評価されています。

認証が必要という条件は、依然として重要な前提です。今回の問題は、認証バイパスとして開示されたものではありません。ただし、必要な権限が低いため、防御側は高権限のアカウントだけが悪用できると考えるべきではありません。

SolarWinds は、スコアリング情報以外については、脆弱なパラメーター、コマンド実行の仕組み、悪用ペイロード、必要となる正確な権限を公表していません。

今回の公表に先立ち、Mini Remote Control Service の不適切な権限設定に起因する Dameware の権限昇格の脆弱性も報じられています。CVE-2025-26396 として識別されたこの別の問題は、ローカルアクセスが必要で、Dameware 12.3.2 で修正済みです。管理者は、過去のこれらの修正と、今回のコマンドインジェクションの脆弱性およびその修正版とを区別して対応する必要があります。

組織はまず Dameware の導入状況を洗い出し、影響を受ける環境を 2026.3.1 にアップグレードしてください。追加の対策として、リモート管理へのアクセスを信頼できるネットワークに限定すること、アカウントの権限を見直すこと、リモートサポートの作業に関連する不審なコマンドやプロセスを調査することが挙げられます。これらはパッチ適用を補完する措置であり、ベンダーによる修正の代わりにはなりません。

Security software

SolarWinds の Serv-U や Web Help Desk に関する過去の公表は、製品も脆弱性の種類も異なります。それらのパッチで Dameware の問題が解消されるわけではありません。製品ごとにバージョンを個別に管理する必要があります。

Dameware のアドバイザリは、実環境で悪用が確認されているとは述べておらず、侵害の痕跡（IoC）も示していません。そのため、防御側は悪用が確認済みであるとは見なさないようにしつつ、脆弱性の深刻度とホストが侵害される可能性を踏まえて、対処の優先度を判断してください。

SOC にアラートの文脈を提供し、インシデントを迅速に阻止しましょう。16K の SOC の脅威インテリジェンスを統合する。