SolarWinds Observability Self-Hosted の整合性検証不備で未認証 RCE（CVSS 9.8・2026.2.3 で修正）

Critical（CVSS 9.8）に分類されるSolarWinds SolarWinds Observability Self-Hosted 2026.2.2 以下（修正版は 2026.2.3）の脆弱性です。**SolarWinds Observability Self-Hosted に、認証なしで遠隔からコードを実行される脆弱性がある。** NVD と SolarWinds のアドバイザリの説明によれば、原因は**整合性チェックの不足**（insufficient integrity checks）である。 **CVSS 3.1 は 9.8（Critical）。** SolarWinds（PSIRT）が付けた値で、ベクタは AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H、つまり**ネットワーク経由・認証不要・利用者の操作不要**である。NVD 側の評価は 2026-09-27 時点で「Awaiting Analysis」で、NVD 独自のスコアはまだ付いていない。 **ただし前提条件がある。** 説明には「**既定ではない、かつ安全でない構成**（non-default and non-secure configuration）で設定されたインストールが影響を受ける」とある。どの設定が該当するかはアドバイザリに具体的に書かれていないため、本サイトでは断定しない。SolarWinds はアドバイザリの参照先として、安全な構成の推奨ドキュメント（Secure Configuration）を挙げている。 **影響は 2026.2.2 以下、修正は 2026.2.3（2026-09-22 リリース）。** 同じリリースで、特定の通信モードでの信頼できないデータのデシリアライズによる未認証 RCE（**CVE-2026-28325**・CVSS 8.8）も修正されている。どちらも Armadin の Kai Huang 氏の報告である。 **CISA KEV には 2026-09-27 時点で収載されていない。** 悪用の確認報告も本記事の確認範囲では見つかっていない。

**SolarWinds Observability Self-Hosted を 2026.2.3 へ更新する。これが正規の対処である。** 2026.2.2 以下はすべて影響範囲に入る。同じ更新で CVE-2026-28325 も直る。 **アドバイザリに個別のワークアラウンドの記載は無い。** 影響は「既定ではない、安全でない構成」に限られるとされているので、更新までの間は SolarWinds の **Secure Configuration** ドキュメントに沿って構成を見直す。同ドキュメントは、ポーリングエンジン間の通信ポート（TCP 5671）を他の SolarWinds サーバに限る、エージェントによる暗号化されたポーリングを使う、TLS 1.2 を有効にする、ネットワークを分離する、などを推奨している。ただし、どの項目がこの CVE の前提条件に当たるかは公開されていないので、**構成の見直しは更新の代わりにはならない**。 **監視基盤は侵害時の影響が大きい。** 監視製品は多数のサーバの資格情報や到達経路を持つため、ここを取られると被害が横に広がりやすい。インターネットや広いネットワークから管理画面へ届く状態になっていないかも、あわせて確認する。

SolarWinds SolarWinds Observability Self-Hosted 2026.2.2 以下（修正版は 2026.2.3） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-28324）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。