情報取得日: 2026/09/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-28325 |
|---|---|
| 製品 | SolarWinds / SolarWinds Observability Self-Hosted 2026.2.2 以下（修正版は 2026.2.3） |
| CVSS | 8.8（High） CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータのデシリアライズ |
| 登録／公開日 | 2026/09/22 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-28325 |
**SolarWinds Observability Self-Hosted が「特定の通信モード」で動いているとき、信頼できないデータのデシリアライズにより、認証なしで遠隔からコードを実行される。** NVD とリリースノートの説明による。 **CVSS 3.1 は 8.8（High）。** SolarWinds（PSIRT）が付けた値で、ベクタは AV:A / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H。**攻撃元は隣接ネットワーク（AV:A）**とされており、インターネット全体からではなく、同じネットワークセグメントに届く位置からの攻撃が想定されている。NVD の評価は 2026-09-27 時点で「Awaiting Analysis」。 **「特定の通信モード」がどの設定を指すかは公開情報に書かれていない**ため、本サイトでは断定しない。 同じ 2026.2.3（2026-09-22 リリース）で、整合性検証の不備による未認証 RCE の **CVE-2026-28324**（CVSS 9.8）も修正されている。**CISA KEV には 2026-09-27 時点で収載されていない。**
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 などに自分で構築した SolarWinds Observability Self-Hosted を **2026.2.3 へ更新**する。自己ホスト型の製品なので、AWS 側の対応で直るものではない。
管理サーバへ到達できるセキュリティグループの送信元を、管理端末と監視対象の SolarWinds サーバに限定しておくと露出を減らせる（修正の代わりにはならない）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上に構築した SolarWinds Observability Self-Hosted を **2026.2.3 へ更新**する。Google Cloud 側の修正は無い。
VPC ファイアウォールで管理サーバとポーリングエンジン間の通信を SolarWinds サーバ同士に絞る。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上に構築した SolarWinds Observability Self-Hosted を **2026.2.3 へ更新**する。プラットフォーム側の対応では直らない。
ネットワークセキュリティグループで管理サーバへの送信元を限定する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
**ディストリのパッケージ更新の対象ではない。** SolarWinds が配布する製品本体の問題なので、対応は **SolarWinds Observability Self-Hosted 2026.2.3 への更新**である。
SolarWinds のアドバイザリは影響版を「2026.2.2 以下」、修正版を「2026.2.3」としている。
参照リンク
|
**SolarWinds Observability Self-Hosted を 2026.2.3 へ更新する。** CVE-2026-28324 と同じ更新で直る。 **アドバイザリに個別のワークアラウンドの記載は無い。** 攻撃元が隣接ネットワークとされているので、更新までの間は、SolarWinds サーバ同士の通信経路（Secure Configuration ドキュメントが挙げる TCP 5671 など）に届く送信元を SolarWinds サーバに限定し、監視基盤を利用者セグメントから分離しておく。これは露出を減らす措置であって修正ではない。
High（CVSS 8.8）に分類されるSolarWinds SolarWinds Observability Self-Hosted 2026.2.2 以下（修正版は 2026.2.3）の脆弱性です。**SolarWinds Observability Self-Hosted が「特定の通信モード」で動いているとき、信頼できないデータのデシリアライズにより、認証なしで遠隔からコードを実行される。** NVD とリリースノートの説明による。 **CVSS 3.1 は 8.8（High）。** SolarWinds（PSIRT）が付けた値で、ベクタは AV:A / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H。**攻撃元は隣接ネットワーク（AV:A）**とされており、インターネット全体からではなく、同じネットワークセグメントに届く位置からの攻撃が想定されている。NVD の評価は 2026-09-27 時点で「Awaiting Analysis」。 **「特定の通信モード」がどの設定を指すかは公開情報に書かれていない**ため、本サイトでは断定しない。 同じ 2026.2.3（2026-09-22 リリース）で、整合性検証の不備による未認証 RCE の **CVE-2026-28324**（CVSS 9.8）も修正されている。**CISA KEV には 2026-09-27 時点で収載されていない。**
**SolarWinds Observability Self-Hosted を 2026.2.3 へ更新する。** CVE-2026-28324 と同じ更新で直る。 **アドバイザリに個別のワークアラウンドの記載は無い。** 攻撃元が隣接ネットワークとされているので、更新までの間は、SolarWinds サーバ同士の通信経路（Secure Configuration ドキュメントが挙げる TCP 5671 など）に届く送信元を SolarWinds サーバに限定し、監視基盤を利用者セグメントから分離しておく。これは露出を減らす措置であって修正ではない。
SolarWinds SolarWinds Observability Self-Hosted 2026.2.2 以下（修正版は 2026.2.3） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-28325）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。