30秒で判断
- 対応すべき人: SolarWinds Web Help Deskを運用している方
- 対応不要な人: SolarWinds Web Help Deskを使用していない方
- 確認コマンド: 導入しているWeb Help Deskのバージョンを確認し、WHD 12.8.7 Hotfix 1より前であれば対応が必要
概要
CVE-2025-26399 は、ITヘルプデスク管理ソフトウェアSolarWinds Web Help Deskに存在する脆弱性です。
AjaxProxy機能が、クライアントから送られたデータをそのままデシリアライズしてしまう不備があり、未認証の攻撃者がホスト上で任意のコマンドを実行できる恐れがあります。この不備は単発のバグではなく、過去に修正されたCVE-2024-28986のパッチを回避する形で見つかったCVE-2024-28988、さらにそのCVE-2024-28988のパッチ自体を回避する形で見つかったものです。つまり2回のパッチ適用を経てもなお同種の不備が残っていたことになります。
本脆弱性はCISAのKnown Exploited Vulnerabilities（KEV）カタログに登録されており、Microsoftのセキュリティブログでも実際の悪用が確認されていると報告されています。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 認証 | 不要（未認証で到達可能） |
| 攻撃元 | ネットワーク経由（リモート） |
| 影響 | 任意コマンド実行（リモートコード実行） |
| 悪用状況 | CISA KEVに登録済み、実際の悪用を確認 |
影響を受けるソフトウェア
| 製品 | ベンダー | 備考 |
|---|---|---|
| Web Help Desk | SolarWinds | AjaxProxy機能 |
公開データに具体的な影響バージョン範囲の明記はありませんが、ベンダーは WHD 12.8.7 Hotfix 1 で修正を提供しています。
修正バージョンと回避策
- SolarWinds公式アドバイザリを確認し、WHD 12.8.7 Hotfix 1以降へアップデートしてください。
- 本脆弱性は過去2回のパッチが回避された経緯があるため、アップデート後も公式アドバイザリで追加情報が出ていないか継続的に確認することを推奨します。
- アップデートが直ちに行えない場合は、Web Help Deskの管理インターフェースへのネットワークアクセスを信頼できるホストに制限してください。
関連リンク
データソース: NVD (NIST), CISA KEV, SolarWinds AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。