SolarWindsは、リモート操作されるホストが侵害される恐れのある重大なコマンドインジェクションの脆弱性「CVE-2026-28336」に対処するため、Dameware 2026.3.1をリリースしました。
この脆弱性の深刻度スコアは9.9です。悪用には認証が必要で、認証不要の攻撃とは区別されます。
修正版は2026年11月3日に公開されました。影響を受けるのはDameware 2026.3とそれ以前のすべてのバージョンで、修正版として2026.3.1が示されています。
SolarWindsは影響を、リモート操作されるホストの侵害と説明しています。ただし、対象となるコマンドハンドラー、インジェクション可能なパラメーター、ペイロードの構造、実行時の権限は明らかにしていません。
こうした情報が公開されていないため、正確な悪用手順や、導入構成の違いによって影響範囲が変わるかどうかについては、結論を導けません。
認証が必要であることは、悪用に管理者権限が求められることを意味するわけではありません。リリースノートには、コマンドインジェクションを引き起こすために必要な最小限のアカウント権限も記載されていません。
この点は、SolarWinds Serv-Uで公表された権限昇格およびリモートコード実行の問題とは異なります。Serv-Uについては、公開された報告で認証済みの特定のロールとアクセス制御の不備が特定されています。Serv-Uの悪用条件をDamewareに当てはめるべきではありません。
同じDamewareのアップデートでは、「CVE-2026-28335」も修正されています。これは認証が必要なバッファーオーバーフローで、深刻度スコアは8.4です。リモートコード実行につながる可能性があります。
この問題もBernatowicz氏が報告しました。3件目の修正は「CVE-2026-28327」で、深刻度8.2のDLLハイジャックの脆弱性です。影響はインストール作業時に限られます。
このDLLの問題を悪用するには、マシンへのローカルアクセスと管理者権限が必要です。前提条件は、今回のコマンドインジェクションとは大きく異なります。
これらのアドバイザリーを読み解くうえでは、認証済みの実行と認証不要の実行の違いが引き続き重要です。SolarWinds Observability Self-Hostedで確認された信頼できないデータのデシリアライズと整合性チェックの不備は、特定の構成条件下で認証なしの攻撃者が悪用できるものでした。
SolarWindsは、Damewareのリリースノートで「CVE-2026-28336」に同等の構成上の前提条件を示していません。共通して公表されているのはリモートからの侵害という結果であり、背後に共通の悪用メカニズムがあるわけではありません。
コマンドインジェクションは、Zimbraに関する無関係なSNMPコマンド実行の報告にも登場します。この事例では、細工されたメールがオプションの監視コンポーネントに到達していました。
ただし、この事例で確認された侵入経路から、Damewareが悪意ある入力をどう処理するかはわかりません。SolarWindsのDamewareリリースノートには、悪用コマンドも侵害指標（IoC）も記載されていません。実際に悪用されているという報告もありません。
したがって、攻撃チェーンが公開された、あるいは攻撃キャンペーンが確認されたとする主張は、ベンダーの公表内容を超えるものになります。対策としては、Dameware 2026.3.1へのアップグレードが提供されています。
SolarWindsは、以前のインストールに使用したものと同じ管理者アカウントを使うよう推奨しています。また、昇格した権限が必要になる場合があるとしています。
インストールガイドでは、該当するRemote Supportのレジストリ設定と保存済みホスト、またはMini Remote Controlの設定とホストをバックアップするよう求めています。新しいバージョンでは、保存済みホストの保護メカニズムが変更されたためです。
脅威調査を効率化し、手作業を減らすために、1万6,000以上のSOCチームがANY.RUNを利用しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-solarwinds-dameware-flaw/
