Damewareにコマンドインジェクションの脆弱性、修正版あり
SolarWinds Dameware 2026.3以前に、遠隔操作される側のホストが侵害されるおそれのあるコマンドインジェクションの脆弱性が公表されました。利用中の組織は版を確認し、修正版に更新してください。
急ぎ度: 早めに
CVSS v3は9.9と最高クラスで修正版も出ていますが、悪用には認証が必要で、実際の悪用を示す情報は今のところ見当たらないため、至急ではなく早めの更新が妥当です。
関係があるか
Damewareでヘルプデスクや保守のために社内の端末やサーバーを遠隔操作している組織が対象です。操作する側の担当者アカウントを多く発行している環境ほど、影響の見積もりを急ぐ必要があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SolarWinds Dameware | 2026.3以前 | 2026.3.1（リリースノートが公開されています。対象製品と版はベンダーの告知で確認してください） |
確かめ方
- 1Damewareを導入している台帳やソフトウェア資産管理の一覧から、使用中の版を洗い出します。
- 2操作する側の管理ツールと、操作される側に入っているコンポーネントの両方について版を確認します。
- 3版が2026.3以前なら対象です。更新前に、ベンダーの告知とリリースノートで更新が必要なコンポーネントの範囲も確認します。
何が起きたか
SolarWinds Damewareに、遠隔操作されるホストを侵害されるおそれのある脆弱性が見つかりました。2026年11月3日にCVE-2026-28336として公表されています。
種類はコマンドインジェクションで、入力の検証が不十分なこと（CWE-20）が原因です。Damewareが受け取った入力が、遠隔操作の対象ホスト上でコマンドとして扱われてしまいます。
CVSS v3は9.9で、深刻度はcriticalです。ベクターの評価では、脆弱な製品の外にある遠隔操作先のホストまで、機密性・完全性・可用性の影響が高いとされています。
2026.3以前の版が影響を受けます。ベンダーは2026.3.1のリリースノートと、セキュリティアドバイザリを公開しています。
攻撃の流れ
-
1
認証
Damewareに有効な認証情報でログインします。
-
2
不正な入力
入力の検証不備のある箇所に、意図しない内容が渡されます。
-
3
コマンド実行
遠隔操作される側のホスト上で、意図しないコマンドが実行されます。
-
4
ホスト侵害
対象ホストの情報の漏えい・改ざん・停止につながります。
どう悪用されるか
悪用には認証が必要です。ただしCVSSのベクターでは、必要な権限は低（PR:L）、利用者の操作は不要（UI:N）、攻撃元はネットワーク上（AV:N）で、条件も複雑ではない（AC:L）と評価されています。
認証が必要だからといって、安心はできません。ヘルプデスク担当者など、日常的にDamewareを使う人のアカウントが盗まれたり、不正に使われたりした場合にも、この脆弱性が足がかりになりえます。
悪用されると、遠隔操作されるホストが侵害されます。そのホストの情報が読み取られ、書き換えられ、サービスも止められるおそれがあります。管理者が日常的に接続するサーバーや業務端末が操作先なら、被害はDameware自体にとどまりません。
今すぐやること
-
1
使用中の版を洗い出す
社内でDamewareを使っている部署と端末を確認します。操作する側と操作される側の両方で、2026.3以前が残っていないかを見ます。
-
2
修正版に更新する
ベンダーのアドバイザリとリリースノートで、対象のコンポーネントと更新手順を確認したうえで、修正版に更新します。操作先が多い環境では、重要なサーバーから順に進めます。
-
3
利用者アカウントを棚卸しする
Damewareにログインできるアカウントのうち、退職者・異動者・共用のものを無効にします。操作できる範囲も必要最小限に絞ります。
-
4
接続元とログを見直す
Damewareの接続ログや、操作先ホストのプロセス起動ログに、身に覚えのない接続や操作がないかを確認します。更新前に不審な動きがあれば、インシデントとして調べます。
すぐ更新できないとき
更新まで時間がかかる場合は、つなぎとしてDamewareに接続できる利用者とネットワークを絞ります。使っていないアカウントは無効にし、管理用ネットワーク以外からの接続は止めておくと、リスクを抑えられます。回避策がベンダーのアドバイザリに書かれていないかも、あわせて確認してください。
背景
Damewareは、ヘルプデスクや保守担当者が社内の端末やサーバーを遠隔で操作するためのリモートサポート製品です。担当者が操作先で管理者に近い作業をすることが多く、製品が侵害されると、その先にあるホストにまで被害が広がります。今回の脆弱性が「遠隔操作されるホストの侵害」と説明されているのは、こうした役割のためです。
コマンドインジェクションは、入力をそのままコマンドとして扱ってしまう種類の脆弱性で、入力の検証を徹底すれば防げます。Damewareの場合は、遠隔操作の接続を通じて、ふだん管理者が触る端末の上でコマンドが動く点が深刻です。
よくある質問
Q.更新が必要なのは、操作する側と操作される側のどちらですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| SolarWinds | Dameware |
2026.3 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SolarWinds Dameware was found to be affected by a command injection vulnerability that could lead to the compromise of the remotely controlled host. Authentication is required.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@solarwinds.com
- web psirt@solarwinds.com
- web nvd.nist.gov
- web github.com