---
title: "SolarWinds Dameware にコマンドインジェクションの欠陥（CVE-2026-28336）: CVSS 9.9、2026.3 以前が対象で認証が必要"
url: https://n-t-p.io/worldsecurity/articles/solarwinds-dameware-cve-2026-28336-command-injection-2026-3-and-earlier
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-28336
---

# SolarWinds Dameware にコマンドインジェクションの欠陥（CVE-2026-28336）: CVSS 9.9、2026.3 以前が対象で認証が必要

> **TL;DR:** リモートサポート製品 SolarWinds Dameware 2026.3 以前で、認証されたユーザーがコマンドを注入し、遠隔操作先のホストを侵害できる欠陥（CVE-2026-28336、CVSS 9.9、評価元 SolarWinds）。認証が必要（PR:L）のため high。KEV 未掲載。2026.3.1 以降への更新を。

**要点**
- 入力検証の不備によるコマンドインジェクション（CVE-2026-28336、CWE-20）。評価元 SolarWinds の CVSS v3.1 は 9.9（PR:L・S:C）
- 認証が必要で、遠隔操作されているホストの侵害につながる。認証なしの欠陥ではないため high とした
- 対象は Dameware 2026.3 以前。KEV 未掲載。EPSS は取得時点でデータなし。NVD は分析前（Received）
- 2026.3.1 以降へ更新し、接続範囲の制限とアカウント点検が必要。修正版の確定、詳細、悪用の有無は未確認

リモートサポート製品「SolarWinds Dameware」に、認証されたユーザーが OS コマンドを注入し、遠隔操作されているホストを乗っ取れる欠陥（CVE-2026-28336）が公表されました。SolarWinds 自身（CNA）が付けた CVSS v3.1 は 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）です。ただし攻撃には低い権限のログインが必要（PR:L）で、認証なしで突ける欠陥ではありません。CISA の KEV（悪用が確認された脆弱性）カタログには載っておらず、NVD の状態は Received（まだ分析されていない）です。対象は 2026.3 以前の版です。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | 入力の検証不備によるコマンドインジェクション（CWE-20）。公表の説明は「遠隔操作されているホストの侵害につながる」としている |
| 攻撃条件 | ネットワーク経由。認証が必要（説明でも明記）。CVSS では必要な権限は低（PR:L）、操作は不要（UI:N） |
| 影響 | 遠隔操作先のホストの機密性・完全性・可用性のすべてに高い影響。スコープが変わる（S:C）ため、Dameware から別のホストへ影響が及ぶ |
| CVSS v3.1 | 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H、評価元は SolarWinds）。NVD 自身の評価はまだない |
| EPSS | 取得時点（2026-11-04）では FIRST にまだデータなし |
| CISA KEV | 載っていない（2026-11-04 時点） |
| 対象 | Dameware 2026.3 以前（NVD の対象範囲は 2026.3 以下） |
| 修正版 | 2026.3.1 とみられる（NVD が参照している 2026.3.1 のリリースノートによる。修正版の番号の確定は未確認） |

Dameware は、IT 担当者が社内の端末やサーバーを遠隔で操作・サポートするために使う製品です。公表された情報は短く、どの機能のどの入力でコマンドが注入されるかといった技術的な詳細は書かれていません。説明から読み取れるのは、ログインしたユーザーが細工した入力を送ると、遠隔操作の対象になっているホストでコマンドが実行されうる、という点です。

## なぜ重要か

Dameware は、多数の端末に管理者に近い権限で接続できる運用が多く、ここで任意のコマンドが実行されると、操作先のホストをまとめて侵害される足がかりになります。CVSS が 9.9 と高いのは、権限が低くても影響が別のホストに広がる（スコープが変わる）ためです。

一方で、攻撃にはログインが必要です。認証なしでインターネットから突ける欠陥ではなく、本サイトの基準（認証不要かつ CVSS 9 以上を critical とする）では、PR:L のため critical にはせず high とします。KEV にも載っておらず、悪用の報告は確認できていません。それでも、サポート担当者のアカウントが奪われた場合の被害が大きいため、更新は急ぐ価値があります。

## 対策

- Dameware を 2026.3.1 以降（SolarWinds のリリースノートで修正が確認できる版）へ更新する。
- 更新までの間は、Dameware のサーバーへ接続できるネットワークを管理用の範囲に絞り、インターネットに直接公開しない。
- Dameware にログインできるアカウントの一覧を点検し、不要なアカウントを削除、パスワードを強いものに変えて多要素認証を使う。
- 遠隔操作の接続ログと、操作先ホストで普段と違うコマンド実行がないかを確認する。

## 数値と出典（2026-11-04 時点）

| 項目 | 内容 |
|---|---|
| NVD | Received（分析前）。CVSS v3.1 9.9（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）、評価元は SolarWinds。弱点の種類は CWE-20。公開は 2026-11-03 |
| EPSS | FIRST にまだデータなし（2026-11-04 取得） |
| KEV | 載っていない |
| 出典 | NVD、SolarWinds のセキュリティ勧告、Dameware 2026.3.1 リリースノート、FIRST、CISA KEV |

## 未確認の点

- 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
- どの機能・入力でコマンドが注入されるか。公表の説明には技術的な詳細がない。
- 修正版の番号。2026.3.1 のリリースノートが参照されているが、その本文の内容は確認できていない。
- 攻撃に必要な権限の具体的な範囲（どの役割のアカウントで足りるか）。
- NVD の分析は未実施（Received）で、評価が変わる可能性がある。
- EPSS が未算出のため、悪用される見込みの数値は確認できていない。
- 公開された悪用コードの有無。


## 出典
- [NVD CVE-2026-28336](https://nvd.nist.gov/vuln/detail/CVE-2026-28336) — NIST NVD
- [SolarWinds セキュリティ勧告 CVE-2026-28336](https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336) — SolarWinds
- [Dameware 2026.3.1 リリースノート](https://documentation.solarwinds.com/en/success_center/dameware/content/release_notes/dameware_2026-3-1_release_notes.htm) — SolarWinds
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-28336) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/solarwinds-dameware-cve-2026-28336-command-injection-2026-3-and-earlier