検索NeSC を見る
脆弱性・CVE速報深刻度: 高

SolarWinds Dameware にコマンドインジェクションの欠陥（CVE-2026-28336）: CVSS 9.9、2026.3 以前が対象で認証が必要

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-28336

リモートサポート製品「SolarWinds Dameware」に、認証されたユーザーが OS コマンドを注入し、遠隔操作されているホストを乗っ取れる欠陥（CVE-2026-28336）が公表されました。SolarWinds 自身（CNA）が付けた CVSS v3.1 は 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）です。ただし攻撃には低い権限のログインが必要（PR:L）で、認証なしで突ける欠陥ではありません。CISA の KEV（悪用が確認された脆弱性）カタログには載っておらず、NVD の状態は Received（まだ分析されていない）です。対象は 2026.3 以前の版です。

概要

項目内容
問題入力の検証不備によるコマンドインジェクション（CWE-20）。公表の説明は「遠隔操作されているホストの侵害につながる」としている
攻撃条件ネットワーク経由。認証が必要（説明でも明記）。CVSS では必要な権限は低（PR:L）、操作は不要（UI:N）
影響遠隔操作先のホストの機密性・完全性・可用性のすべてに高い影響。スコープが変わる（S:C）ため、Dameware から別のホストへ影響が及ぶ
CVSS v3.19.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H、評価元は SolarWinds）。NVD 自身の評価はまだない
EPSS取得時点（2026-11-04）では FIRST にまだデータなし
CISA KEV載っていない（2026-11-04 時点）
対象Dameware 2026.3 以前（NVD の対象範囲は 2026.3 以下）
修正版2026.3.1 とみられる（NVD が参照している 2026.3.1 のリリースノートによる。修正版の番号の確定は未確認）

Dameware は、IT 担当者が社内の端末やサーバーを遠隔で操作・サポートするために使う製品です。公表された情報は短く、どの機能のどの入力でコマンドが注入されるかといった技術的な詳細は書かれていません。説明から読み取れるのは、ログインしたユーザーが細工した入力を送ると、遠隔操作の対象になっているホストでコマンドが実行されうる、という点です。

なぜ重要か

Dameware は、多数の端末に管理者に近い権限で接続できる運用が多く、ここで任意のコマンドが実行されると、操作先のホストをまとめて侵害される足がかりになります。CVSS が 9.9 と高いのは、権限が低くても影響が別のホストに広がる（スコープが変わる）ためです。

一方で、攻撃にはログインが必要です。認証なしでインターネットから突ける欠陥ではなく、本サイトの基準（認証不要かつ CVSS 9 以上を critical とする）では、PR:L のため critical にはせず high とします。KEV にも載っておらず、悪用の報告は確認できていません。それでも、サポート担当者のアカウントが奪われた場合の被害が大きいため、更新は急ぐ価値があります。

対策

  • Dameware を 2026.3.1 以降（SolarWinds のリリースノートで修正が確認できる版）へ更新する。
  • 更新までの間は、Dameware のサーバーへ接続できるネットワークを管理用の範囲に絞り、インターネットに直接公開しない。
  • Dameware にログインできるアカウントの一覧を点検し、不要なアカウントを削除、パスワードを強いものに変えて多要素認証を使う。
  • 遠隔操作の接続ログと、操作先ホストで普段と違うコマンド実行がないかを確認する。

数値と出典（2026-11-04 時点）

項目内容
NVDReceived（分析前）。CVSS v3.1 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）、評価元は SolarWinds。弱点の種類は CWE-20。公開は 2026-11-03
EPSSFIRST にまだデータなし（2026-11-04 取得）
KEV載っていない
出典NVD、SolarWinds のセキュリティ勧告、Dameware 2026.3.1 リリースノート、FIRST、CISA KEV

未確認の点

  • 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
  • どの機能・入力でコマンドが注入されるか。公表の説明には技術的な詳細がない。
  • 修正版の番号。2026.3.1 のリリースノートが参照されているが、その本文の内容は確認できていない。
  • 攻撃に必要な権限の具体的な範囲（どの役割のアカウントで足りるか）。
  • NVD の分析は未実施（Received）で、評価が変わる可能性がある。
  • EPSS が未算出のため、悪用される見込みの数値は確認できていない。
  • 公開された悪用コードの有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事