SolarWinds、Access Rights Managerの深刻な脆弱性を修正　認証不要のリモートコード実行リスクに対処

要点

• SolarWindsがアクセス権管理ソフトウェア「Access Rights Manager（ARM）」のセキュリティアップデートを公開した。
• ハードコードされた静的キーに起因し、未認証の第三者がリモートからコードを実行できる高深刻度の脆弱性（CVE-2026-28326、CVSSスコア 8.8）が修正された。
• 影響を受けるのはバージョン2026.2以前の全バージョンであり、最新版となるバージョン2026.2.1への更新が提供されている。
• 同社は直近2カ月間にも「Web Help Desk」や「Serv-U」を対象とした複数の脆弱性修正パッチを公開している。

リード文

米SolarWindsは2026年9月17日付のセキュリティアドバイザリにおいて、アクセス権管理ソフトウェア「Access Rights Manager（ARM）」に高深刻度の脆弱性が存在することを明らかにし、修正アップデートを公開した。この脆弱性はプログラム内に埋め込まれたキーに起因するもので、悪用された場合、認証を受けていない第三者によってリモートから任意のコードを実行される恐れがあるという。影響を受けるバージョンは2026.2およびそれ以前のすべてのバージョンとされており、同社は修正版となるバージョン2026.2.1へのアップデートを呼びかけている。

脆弱性「CVE-2026-28326」の概要と影響範囲

今回修正された脆弱性は「CVE-2026-28326」として管理されており、共通脆弱性評価システム（CVSS：情報システムの脆弱性の深刻度を0.0から10.0までの数値で評価する指標）のスコアは8.8で、「高（High）」深刻度に分類されている。

本脆弱性の影響を受ける対象は、SolarWinds Access Rights Managerのバージョン2026.2およびそれ以前の全バージョンである。Access Rights Managerは、組織内のITインフラにおけるユーザーのアクセス権限を一元管理・監査するためのソフトウェアだが、本不具合により重大なセキュリティリスクが生じる可能性があることが判明した。

SolarWindsが2026年9月17日に公開したアドバイザリによると、本脆弱性の根本的な原因は「ハードコードされた静的キー（プログラム内部に固定値として直接記述された暗号鍵や認証情報）」にあるとされている。同社はアドバイザリの中で、「SolarWinds Access Rights Managerに未認証のリモートコード実行の脆弱性が影響していることが報告された。この問題はハードコードされた静的キーに起因している」と説明している。

リモートコード実行（RCE：遠隔地の第三者がネットワーク経由で対象サーバー上に不正な命令を送り、任意のプログラムを実行させること）が可能になると、システムの乗っ取りや不正な操作が行われるリスクがある。特に今回の脆弱性は「未認証（Unauthenticated）」で悪用可能とされており、攻撃者が有効なアカウントや認証情報を事前に所持していなくても攻撃を試みることができる点が深刻視されている。

なお、この脆弱性を発見して同社へ報告したのは、セキュリティ企業Armadinの研究者であるKai Huang（カイ・ファン）氏である。同社はリリースノートにおいてバージョン2026.2.1でパッチを適用したことを公表している。また、SolarWindsのアドバイザリでは、本脆弱性を標的とした実際のサイバー攻撃や野生環境（in the wild）における悪用事例についての言及はなされていない。

直近2カ月でWeb Help DeskやServ-Uの脆弱性修正も実施

SolarWindsでは直近の期間において、他の主要製品に関しても重大な脆弱性修正を相次いでリリースしている。

約2カ月前には、ITサービス管理ソフトウェア「Web Help Desk（WHD）」に影響を及ぼす致命的な脆弱性「CVE-2026-28323」の修正パッチが提供された。この問題はCVSSスコアが9.8と極めて高く、SAML 2.0（異なるサービス間でユーザー認証情報を安全にやり取りするための業界標準規格）による認証方式が有効化されている環境において、SAML認証を回避（バイパス）される恐れがあるものだった。

さらにWeb Help Deskを巡っては、メモリ不足に起因してサーバーがクラッシュするサービス拒否（DoS：過剰な負荷や不具合によってシステムを停止させ、正常なサービス提供を妨害する状態）の脆弱性「CVE-2026-28299」（CVSSスコア 8.2）も報告されていた。これら2つの脆弱性はいずれも修正版の「WHD 2026.2.1」で解決されている。

加えて同社は、ファイル転送サーバーソフトウェア「Serv-U」に存在する計16件の脆弱性（CVE-2026-28302、CVE-2026-28304からCVE-2026-28317、CVE-2026-28321、CVE-2026-28323）に対する修正パッチも公開している。これらの脆弱性は、権限昇格（一般ユーザーが不正に管理者などの上位権限を獲得すること）やリモートコード実行、さらには管理者アカウントの不正作成につながるリスクを抱えていたという。

補足

SolarWindsは各製品のセキュリティアドバイザリやリリースノートを通じて不具合の修正内容を公表しており、対象製品の利用環境に対して速やかな最新版への移行を案内している。