情報取得日: 2026/03/09／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-26399 |
|---|---|
| 製品 | SolarWinds / Web Help Desk |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータのデシリアライズ |
| CVE 公開日 | 2025/09/23（NVD） |
| CISA KEV 収載日 | 2026/03/09 2025年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2026/03/12 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-26399 |
SolarWinds Web Help Desk の AjaxProxy に、認証不要で到達できるデシリアライズの欠陥がある。NVD の記述によれば、悪用されるとホスト上でコマンドを実行できる。特徴的なのは、これが CVE-2024-28988 のパッチ回避であり、その CVE 自体が CVE-2024-28986 のパッチ回避だという点で、同じ箇所の修正が2度破られた3代目にあたる。過去に当該 CVE を修正済みだから安心とは言えない構造になっている。影響範囲は CPE で 12.8.6 以下のすべてと、ホットフィックス未適用の 12.8.7 で、修正は 12.8.7 Hotfix 1 である。CVSS は NVD（Primary）と CNA の SolarWinds がともに 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致しており、評価元による食い違いは無い。CISA KEV には 2026-03-09 に収載され、是正期限は 2026-03-12 という3日後の設定で、緊急度の高い扱いを受けている。ランサムウェア利用は Known で、ランサムウェア攻撃での使用が確認されている。実際の悪用については Microsoft がセキュリティブログ（2026-02-06）で、Huntress も別 CVE の記事内で扱っており、いずれも NVD の参照に載っている。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の Web Help Desk に 12.8.7 Hotfix 1 を適用する（後継リリースへの更新でもよい）
AWS 側のサービスの欠陥ではない。ALB でインターネットに出している場合はリスナーを内部向けに変更し、セキュリティグループで社内 IP に絞る。悪用実績があるため、インスタンスの IAM ロールで取得された一時資格情報の利用状況を CloudTrail で確認する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の Web Help Desk に 12.8.7 Hotfix 1 を適用する
外部 IP を外し、社内からは IAP か VPN 経由に限定する。侵害が疑われる場合は、インスタンスのサービスアカウントの権限と、Cloud Logging 上の想定外の API 呼び出しを確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の Web Help Desk に 12.8.7 Hotfix 1 を適用する
Microsoft が本 CVE の実際の悪用についてセキュリティブログで報じており、そこに挙がっている痕跡と自環境のログを突き合わせる。Web Help Desk が Active Directory と連携している場合、連携用アカウントのパスワード再発行まで実施する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージ更新の対象外。Web Help Desk 本体に 12.8.7 Hotfix 1 を適用する
Linux ホストで動かしている場合、サービス実行ユーザーからのシェル起動履歴、/tmp 配下に落ちた実行ファイル、cron への追加を確認する。前段プロキシのアクセスログは保全してから更新に入る。
参照リンク
|
判定は Web Help Desk の版を見るだけである。管理画面のバージョン表示が 12.8.6 以下なら該当し、12.8.7 でもホットフィックス未適用なら該当する。ホットフィックスは通常の版番号に現れないことがあるため、12.8.7 と表示されているだけで安全と判断せず、Hotfix 1 の適用記録（インストーラの適用履歴、リリースノートに記載された確認方法）まで確認する。ここが見落としの元になる。資産台帳にない Web Help Desk が社内に残っていないかも、ポートスキャンで洗い出す。すぐに更新できない場合、公開情報から確認できる設定レベルの回避策は無く、AjaxProxy は認証不要で到達するため、認証を強めても意味がない。取り得るのは、インターネットからの到達を落として VPN 経由だけに限定するか、更新まで一時停止するかの2択に近い。KEV に Known ransomware で載っている以上、更新だけで終わらせてはいけない。更新前の期間について、サービス実行ユーザーで起動された子プロセス（cmd.exe や PowerShell、シェル）、アプリのディレクトリに置かれた見慣れない jsp / jar / スクリプト、管理者アカウントの追加、そしてこの製品が保持している資格情報（Active Directory 連携アカウント、メールサーバのアカウント、資産検出用のクレデンシャル、データベース接続情報）を洗う。保持している資格情報は侵害済みとみなして再発行する。ヘルプデスク製品は問い合わせ内容や添付ファイルという形で機微情報を抱えるため、データベースの持ち出し痕跡も確認する。完了条件は、（1）全ノードが 12.8.7 Hotfix 1 以降（後継の 2026.1 でも影響版から外れる）になっている、（2）痕跡調査を実施して記録した、（3）保持していた資格情報を再発行した、の3点である。KEV 是正期限 2026-03-12 は今日（2026-08-17）から見て5か月以上前であり、未対応なら期限超過として最優先で処理する。
Critical（CVSS 9.8）に分類されるSolarWinds Web Help Deskの脆弱性です。SolarWinds Web Help Desk の AjaxProxy に、認証不要で到達できるデシリアライズの欠陥がある。NVD の記述によれば、悪用されるとホスト上でコマンドを実行できる。特徴的なのは、これが CVE-2024-28988 のパッチ回避であり、その CVE 自体が CVE-2024-28986 のパッチ回避だという点で、同じ箇所の修正が2度破られた3代目にあたる。過去に当該 CVE を修正済みだから安心とは言えない構造になっている。影響範囲は CPE で 12.8.6 以下のすべてと、ホットフィックス未適用の 12.8.7 で、修正は 12.8.7 Hotfix 1 である。CVSS は NVD（Primary）と CNA の SolarWinds がともに 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致しており、評価元による食い違いは無い。CISA KEV には 2026-03-09 に収載され、是正期限は 2026-03-12 という3日後の設定で、緊急度の高い扱いを受けている。ランサムウェア利用は Known で、ランサムウェア攻撃での使用が確認されている。実際の悪用については Microsoft がセキュリティブログ（2026-02-06）で、Huntress も別 CVE の記事内で扱っており、いずれも NVD の参照に載っている。NVD の vulnStatus は Analyzed。
判定は Web Help Desk の版を見るだけである。管理画面のバージョン表示が 12.8.6 以下なら該当し、12.8.7 でもホットフィックス未適用なら該当する。ホットフィックスは通常の版番号に現れないことがあるため、12.8.7 と表示されているだけで安全と判断せず、Hotfix 1 の適用記録（インストーラの適用履歴、リリースノートに記載された確認方法）まで確認する。ここが見落としの元になる。資産台帳にない Web Help Desk が社内に残っていないかも、ポートスキャンで洗い出す。すぐに更新できない場合、公開情報から確認できる設定レベルの回避策は無く、AjaxProxy は認証不要で到達するため、認証を強めても意味がない。取り得るのは、インターネットからの到達を落として VPN 経由だけに限定するか、更新まで一時停止するかの2択に近い。KEV に Known ransomware で載っている以上、更新だけで終わらせてはいけない。更新前の期間について、サービス実行ユーザーで起動された子プロセス（cmd.exe や PowerShell、シェル）、アプリのディレクトリに置かれた見慣れない jsp / jar / スクリプト、管理者アカウントの追加、そしてこの製品が保持している資格情報（Active Directory 連携アカウント、メールサーバのアカウント、資産検出用のクレデンシャル、データベース接続情報）を洗う。保持している資格情報は侵害済みとみなして再発行する。ヘルプデスク製品は問い合わせ内容や添付ファイルという形で機微情報を抱えるため、データベースの持ち出し痕跡も確認する。完了条件は、（1）全ノードが 12.8.7 Hotfix 1 以降（後継の 2026.1 でも影響版から外れる）になっている、（2）痕跡調査を実施して記録した、（3）保持していた資格情報を再発行した、の3点である。KEV 是正期限 2026-03-12 は今日（2026-08-17）から見て5か月以上前であり、未対応なら期限超過として最優先で処理する。
SolarWinds Web Help Desk を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-26399）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。