検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Dell OpenManage Enterprise 4.8.0 より前 CVE-2026-91909（NVD CVSS v3.1 8.0）: 引数インジェクションで隣接ネットワークの低権限者がコマンド実行の恐れ

World Security 編集部
目次（7）

CVE-2026-91909

Dell の運用管理ソフト OpenManage Enterprise の 4.8.0 より前の版に、引数インジェクション（CWE-88）の脆弱性 CVE-2026-91909 が見つかりました。NVD は 2026-11-02 に登録しました。同じネットワークセグメント（隣接ネットワーク）にいる低権限の攻撃者が、コマンドを実行できる可能性があると記載されています。NVD の評価は CVSS v3.1 で 8.0（HIGH）、Dell の評価は 4.6（MEDIUM）で、2 つの評価が分かれています。

概要

項目内容
CVECVE-2026-91909
製品Dell OpenManage Enterprise（サーバー・ストレージ・ネットワーク機器の一元管理ソフト）
対象4.8.0 より前
問題コマンド内の引数区切り文字の不適切な無害化（引数インジェクション、CWE-88）
攻撃条件隣接ネットワーク（AV:A）、低権限（PR:L）、ユーザー操作不要
結果コマンド実行
  • Dell の勧告は DSA-2026-467 です。
  • 管理ソフトは多数の機器の管理権限を束ねるため、侵害されると管理下の機器へ影響が広がる恐れがあります。ただし、今回の影響範囲が管理下の機器に及ぶかは、勧告の本文を取得できておらず未確認です。

CVSS の違い

評価元種別v3.1 スコアベクター
NVD主（Primary）8.0（HIGH）AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Dell（security_alert@emc.com）副（Secondary）4.6（MEDIUM）AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

攻撃経路・条件は同じで、影響の見積もり（機密性・完全性・可用性）だけが異なります。NVD は 3 つとも高、Dell は機密性・完全性を低、可用性なしとしています。どちらが実態に近いかは未確認です。

影響範囲

  • 4.8.0 より前の OpenManage Enterprise が対象です。
  • 攻撃者は同じネットワークセグメントにいて、有効な低権限のアカウントを持つ必要があります。インターネットから直接攻撃できる種類ではありません。
  • 管理用ネットワークが他の用途のネットワークと分離されていない環境、低権限アカウントを広く配っている環境では、リスクが高まります。

修正

4.8.0 で修正されています。Dell の勧告（DSA-2026-467）に、更新の案内があります。アプライアンスの更新手順や、旧版向けの回避策の有無は、勧告の本文を取得できておらず未確認です。

利用者がとれる対策

  • OpenManage Enterprise の版を確認し、4.8.0 以降へ更新する。
  • 管理用ネットワークを分離し、アクセスできる端末を限定する。
  • 低権限アカウントを棚卸しし、不要なものを無効にする。
  • 更新までの間、管理画面や管理用サービスへの隣接ネットワークからの接続ログを確認する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed
CVSS v3.1NVD 8.0（HIGH）、Dell 4.6（MEDIUM）
EPSS未算定（FIRST、2026-11-03 時点）
KEV掲載なし（CISA のカタログを確認）
CISA の SSVC 評価悪用なし（exploitation: none）、自動化不可（automatable: no）、技術的影響は部分的（partial）
出典NVD、Dell の勧告 DSA-2026-467、FIRST、CISA

未確認の点

  • 悪用の有無（KEV 掲載なし、EPSS は未算定で、公開された攻撃コードは確認できていません）。
  • 引数インジェクションの具体的な箇所・機能と、攻撃に必要なアカウントの権限レベル。
  • コマンドが実行される権限と、管理下の機器への影響の有無。
  • NVD（8.0）と Dell（4.6）の評価差のうち、どちらが実態に近いか。
  • アプライアンスの更新手順と、4.8.0 に更新できない場合の回避策。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事