概要

SolarWindsのID・アクセス権限管理製品「Access Rights Manager(ARM)」に、認証を回避して任意のコードを実行できる深刻な脆弱性(CVE-2026-28326、CVSS 8.8)が見つかり、修正版が公開された。原因はアプリケーション内部に埋め込まれた「ハードコードされた静的暗号鍵」で、これを悪用されると攻撃者は有効な認証情報を持たないまま認証機構を回避し、リモートから任意のコマンドを実行できてしまう。脆弱性が存在するのはARM 2026.2以前の全バージョンで、SolarWindsは2026年9月17日にセキュリティアドバイザリを公開し、修正版のARM 2026.2.1をリリースした。

脆弱性の詳細と発見の経緯

ARMは組織内のActive Directoryなどにおけるアクセス権限を可視化・管理するための製品であり、その性質上、悪用された場合の影響範囲は大きい。今回の脆弱性は、認証処理に使われる暗号鍵がソフトウェア内に固定値として埋め込まれていたことに起因する。この静的鍵を攻撃者が入手・解析できれば、正規のログイン情報なしに認証を通過し、リモートコード実行(RCE)に至る経路が開かれる。脆弱性はArmadin securityの研究者Kai Huang氏によって発見・報告された。

影響と対応

現時点でSolarWindsはこの脆弱性が実際の攻撃で悪用されたとは言及しておらず、公開時点で野放しの悪用は確認されていない。ただし、ARMは組織のアクセス権限管理を担う基盤製品であるため、侵害された場合はID・アクセス管理システム全体の信頼性が損なわれるリスクがある。SolarWindsは影響を受けるバージョンを利用する組織に対し、速やかに修正版のARM 2026.2.1へアップグレードするよう推奨している。実悪用の報告がない今のうちにパッチを適用することが、被害を未然に防ぐ上で重要となる。