SolarWinds Web Help Desk の制御回避で機能へ不正到達（悪用確認済み）

Critical（CVSS 9.8）に分類されるSolarWinds Web Help Deskの脆弱性です。SolarWinds Web Help Desk に、セキュリティ制御を回避できる欠陥がある。NVD の記述によれば、認証されていない攻撃者が本来は制限されている一部の機能に到達できる。単体では制御の回避だけだが、同じ製品では認証不要のデシリアライズによるコード実行（CVE-2025-40551、CVE-2025-26399）が並行して悪用されており、制御回避はその足がかりとして連鎖しやすい位置にある。影響範囲は CPE で 2026.1 より前のすべての版とされ、修正は 2026.1 である。CVSS は評価元で割れている。NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の SolarWinds は 8.1 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）で、差は攻撃条件の複雑さ（AC:L か AC:H）の見方である。SolarWinds は条件が揃わないと成立しないと評価しているが、いずれにせよ認証不要（PR:N）で影響は機密性・完全性・可用性すべてに及ぶ評価になっている。CISA KEV には 2026-02-12 に収載され、是正期限は 2026-02-15。ランサムウェア利用は Unknown（不明）。NVD の参照には Huntress による Web Help Desk の実際の悪用に関する記事も載っている。NVD の vulnStatus は Analyzed、公開は 2026-01-28。

判定は版を見るだけで、2026.1 より前なら該当する。この CVE は CVE-2025-40551 と同じ 2026.1 で修正されるため、2件を別々に追う必要はなく、2026.1 への更新1回で両方が影響版から外れる。CVE-2025-26399 の 12.8.7 Hotfix 1 を当てただけの環境は本件では未対策なので、ホットフィックス済みという記録に安心しないことが実務上の勘所である。棚卸しでは、資産台帳にないインスタンス、部門が独自に立てた環境、検証環境、外部公開している受付画面を対象にする。すぐに更新できない場合、認証不要で成立するため利用者側の認証強化では止まらず、公開情報に設定レベルの回避策の記載も無い。したがって到達経路を閉じることが唯一の緩和で、インターネット公開をやめて社内・VPN 経由に限定する、外部からの問い合わせ受付が必要なら前段で許可するパスとメソッドを絞る、といった対処になる。制御回避は単体では静かな攻撃なので、痕跡の見方を変える必要がある。認証していない主体からのリクエストが 200 で返っている記録、管理系のパスへの外部からのアクセス、通常のログインを経ずに実行された操作のログを見る。KEV 収載＝実際に悪用されている以上、更新に加えて、この製品が保持している資格情報（AD 連携、メール、データベース、資産検出用のアカウント）は侵害の可能性を前提に再発行し、問い合わせデータの持ち出し痕跡も確認する。完了条件は、（1）全ノードが 2026.1 以降になっている、（2）更新前の期間について認証を経ない到達の痕跡を確認して記録した、（3）保持資格情報を再発行した、の3点である。KEV 是正期限 2026-02-15 は今日（2026-08-17）から見て半年前であり、未対応なら期限超過扱いで、同製品の他の2件と併せて最優先で処理する。

SolarWinds Web Help Desk を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-40536）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/15 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。