--- title: "Dell OpenManage Enterprise 4.8.0 より前 CVE-2026-91909（NVD CVSS v3.1 8.0）: 引数インジェクションで隣接ネットワークの低権限者がコマンド実行の恐れ" url: https://n-t-p.io/worldsecurity/articles/dell-openmanage-enterprise-before-4-8-0-argument-injection-command-execution-cve-2026-91909 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-91909 --- # Dell OpenManage Enterprise 4.8.0 より前 CVE-2026-91909（NVD CVSS v3.1 8.0）: 引数インジェクションで隣接ネットワークの低権限者がコマンド実行の恐れ > **TL;DR:** Dell OpenManage Enterprise 4.8.0 より前の引数インジェクション（CVE-2026-91909）。隣接ネットワークの低権限者がコマンドを実行できる可能性。NVD は CVSS v3.1 8.0、Dell は 4.6 と評価が分かれる。4.8.0 で修正（DSA-2026-467）。KEV なし、EPSS は未算定。 **要点** - OpenManage Enterprise 4.8.0 より前が対象。引数区切り文字の不適切な無害化（CWE-88）でコマンド実行の可能性 - 攻撃は隣接ネットワーク（AV:A）・低権限（PR:L）・ユーザー操作不要。インターネットから直接ではない - CVSS v3.1 は NVD 8.0（HIGH）と Dell 4.6（MEDIUM）で分かれる。4.8.0 で修正 - 悪用の有無、具体的な箇所、管理下機器への影響、回避策は未確認。KEV なし、EPSS は未算定 Dell の運用管理ソフト OpenManage Enterprise の 4.8.0 より前の版に、引数インジェクション（CWE-88）の脆弱性 CVE-2026-91909 が見つかりました。NVD は 2026-11-02 に登録しました。同じネットワークセグメント（隣接ネットワーク）にいる低権限の攻撃者が、コマンドを実行できる可能性があると記載されています。NVD の評価は CVSS v3.1 で 8.0（HIGH）、Dell の評価は 4.6（MEDIUM）で、2 つの評価が分かれています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-91909 | | 製品 | Dell OpenManage Enterprise（サーバー・ストレージ・ネットワーク機器の一元管理ソフト） | | 対象 | 4.8.0 より前 | | 問題 | コマンド内の引数区切り文字の不適切な無害化（引数インジェクション、CWE-88） | | 攻撃条件 | 隣接ネットワーク（AV:A）、低権限（PR:L）、ユーザー操作不要 | | 結果 | コマンド実行 | - Dell の勧告は DSA-2026-467 です。 - 管理ソフトは多数の機器の管理権限を束ねるため、侵害されると管理下の機器へ影響が広がる恐れがあります。ただし、今回の影響範囲が管理下の機器に及ぶかは、勧告の本文を取得できておらず未確認です。 ## CVSS の違い | 評価元 | 種別 | v3.1 スコア | ベクター | |---|---|---|---| | NVD | 主（Primary） | 8.0（HIGH） | AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | | Dell（security_alert@emc.com） | 副（Secondary） | 4.6（MEDIUM） | AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N | 攻撃経路・条件は同じで、影響の見積もり（機密性・完全性・可用性）だけが異なります。NVD は 3 つとも高、Dell は機密性・完全性を低、可用性なしとしています。どちらが実態に近いかは未確認です。 ## 影響範囲 - 4.8.0 より前の OpenManage Enterprise が対象です。 - 攻撃者は同じネットワークセグメントにいて、有効な低権限のアカウントを持つ必要があります。インターネットから直接攻撃できる種類ではありません。 - 管理用ネットワークが他の用途のネットワークと分離されていない環境、低権限アカウントを広く配っている環境では、リスクが高まります。 ## 修正 4.8.0 で修正されています。Dell の勧告（DSA-2026-467）に、更新の案内があります。アプライアンスの更新手順や、旧版向けの回避策の有無は、勧告の本文を取得できておらず未確認です。 ## 利用者がとれる対策 - OpenManage Enterprise の版を確認し、4.8.0 以降へ更新する。 - 管理用ネットワークを分離し、アクセスできる端末を限定する。 - 低権限アカウントを棚卸しし、不要なものを無効にする。 - 更新までの間、管理画面や管理用サービスへの隣接ネットワークからの接続ログを確認する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed | | CVSS v3.1 | NVD 8.0（HIGH）、Dell 4.6（MEDIUM） | | EPSS | 未算定（FIRST、2026-11-03 時点） | | KEV | 掲載なし（CISA のカタログを確認） | | CISA の SSVC 評価 | 悪用なし（exploitation: none）、自動化不可（automatable: no）、技術的影響は部分的（partial） | | 出典 | NVD、Dell の勧告 DSA-2026-467、FIRST、CISA | ## 未確認の点 - 悪用の有無（KEV 掲載なし、EPSS は未算定で、公開された攻撃コードは確認できていません）。 - 引数インジェクションの具体的な箇所・機能と、攻撃に必要なアカウントの権限レベル。 - コマンドが実行される権限と、管理下の機器への影響の有無。 - NVD（8.0）と Dell（4.6）の評価差のうち、どちらが実態に近いか。 - アプライアンスの更新手順と、4.8.0 に更新できない場合の回避策。 ## 出典 - [NVD CVE-2026-91909](https://nvd.nist.gov/vuln/detail/CVE-2026-91909) — NIST NVD - [Dell DSA-2026-467](https://www.dell.com/support/kbdoc/en-us/000523220/dsa-2026-467-security-update-for-dell-openmanage-enterprise-vulnerabilities) — Dell - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-91909) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/dell-openmanage-enterprise-before-4-8-0-argument-injection-command-execution-cve-2026-91909