SolarWindsの遠隔操作製品「SolarWinds Dameware」で、複数の脆弱性が明らかになった。同社は現地時間2026年11月3日にセキュリティアドバイザリを公開し、問題を修正した「SolarWinds Dameware 2026.3.1」を提供している。
このうち「CVE-2026-28336」は、コマンドインジェクションの脆弱性で、悪用には認証が必要となるものの、遠隔操作先のホストが侵害される可能性がある。同社は共通脆弱性評価システム「CVSSv3」のベーススコアを9.9とし、重要度を4段階で最も高い「クリティカル」と評価している。
このほか、認証を必要とするものの遠隔からコードを実行されるおそれがあるバッファオーバーフローの脆弱性「CVE-2026-28335」や、インストール時のDLLハイジャックの脆弱性「CVE-2026-28327」も判明した。
今回の更新では、外部のコンポーネントに関する問題にも対処している。「Brotli」のデコーダにあるバッファオーバーフローの脆弱性「CVE-2026-111497」と、Apache log4netで不正な文字の処理によりログ記録が失われるおそれがある「CVE-2026-40021」などが対象となっている。
MARBLEの対応例：この件の場合
MARBLEは、Damewareの利用状況とバージョンをまず確かめる。
- SolarWinds Damewareを利用しているか確かめる
- 利用中のバージョンと遠隔操作先のホストを確かめる
- 2026.3.1への更新方法を導入した会社に確かめる
- 更新後の動作確認について導入した会社に確かめる
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「遠隔サポート製品「SolarWinds Dameware」に複数の脆弱性」（2026年11月5日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
