SolarWinds Web Help Desk に別のデシリアライズRCE（悪用確認済み）

Critical（CVSS 9.8）に分類されるSolarWinds Web Help Deskの脆弱性です。SolarWinds Web Help Desk に、信頼できないデータのデシリアライズによるリモートコード実行の欠陥がある。NVD の記述によれば、悪用されるとホスト上でコマンドを実行でき、しかも認証なしで成立する。同じ製品の CVE-2025-26399 と類型は同じだが別の CVE で、影響範囲も異なる。CPE では 2026.1 より前のすべての版が該当とされ、修正は 2026.1 である。12.8.7 Hotfix 1 を当てて CVE-2025-26399 を塞いだ環境も、この CVE では依然として影響版に入る点が重要で、ホットフィックスを当てたから終わりという判断ができない。CVSS は CNA の SolarWinds（psirt@solarwinds.com）による 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2026-02-03 に収載され、是正期限は 2026-02-06 という3日後の設定である。KEV に載っている以上、実際の悪用が確認されている。ランサムウェア利用は Unknown（不明）で、Known ではない。NVD の vulnStatus は Analyzed、公開は 2026-01-28。

判定は版だけで済む。管理画面のバージョンが 2026.1 より前なら該当する。12.8.x 系はすべて該当で、12.8.7 Hotfix 1 を適用済みでも該当することを取り違えないよう注意する。この製品では 2026 年初めに複数の CVE が続けて KEV へ収載されており、CVE-2025-40551 と CVE-2025-40536 はいずれも 2026.1 で修正、CVE-2025-26399 は 12.8.7 Hotfix 1 で修正という関係にある。実務上の最短経路は、個別のホットフィックスを重ねるのではなく 2026.1 へ上げてしまうことで、これで3件がまとめて影響版から外れる。棚卸しでは、資産台帳に載っていない部門立てのインスタンス、検証環境、外部公開している問い合わせ受付用のホストを対象にする。すぐに更新できない場合、認証不要で成立するため認証強化は効かず、公開情報に設定レベルの回避策の記載も無い。取れる手はインターネットからの到達を落とすこと、それも管理面だけでなく利用者向けの受付画面も含めて社内・VPN 経由に限定することである。外部の顧客からの問い合わせ受付に使っていて閉じられない場合は、更新までサービスを止める判断も検討対象になる。KEV 収載＝実際に悪用されている以上、更新だけで完了とせず、更新前の期間についてサービス実行ユーザーからの子プロセス起動、アプリディレクトリへの不審なファイル追加、管理者アカウントの追加を確認し、Web Help Desk が保持している資格情報（AD 連携、メール、データベース、資産検出用）を再発行する。完了条件は、（1）全ノードが 2026.1 以降になっている、（2）痕跡調査の記録を残した、（3）保持資格情報を再発行した、の3点である。KEV 是正期限 2026-02-06 は今日（2026-08-17）から見て半年以上前であり、未対応なら期限超過として扱う。

SolarWinds Web Help Desk を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-40551）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/06 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。