セキュリティニュース
リモート操作ツール SolarWinds Dameware に欠陥（CVE-2026-28336 ほか）— アカウント1つで、操作先のパソコンを乗っ取られる
ひとことで言うと
- 社員のパソコンを遠隔で操作して手助けするためのツール SolarWinds Dameware に、欠陥が2件見つかりました。
- いちばん重い CVE-2026-28336（CVSS 9.9）は、Dameware にログインできる人なら、操作先のパソコンで好きな命令を実行できてしまうものです。
- 11月3日に修正版（2026.3.1）が出ました。2026.3 以前はすべて対象です。悪用の報告や攻撃コードの公開は、今のところありません。
- リモート操作ツールは、乗っ取られると社内のパソコン全部に入れる「合鍵」になります。更新に加えて、使える人を絞ることが大切です。
この記事は 11月3日時点の情報です。
何が原因か
Dameware は、情報システムの担当者や保守会社が、離れた場所から社員のパソコンやサーバーの画面を見て、操作するためのツールです。操作される側のパソコンには、小さなプログラム（エージェント）が入っていて、とても強い権限で動いています。
今回見つかった欠陥は、次の2つです。
| CVE 番号 | 深刻度 | 内容 |
|---|---|---|
| CVE-2026-28336 | 9.9（緊急） | 送られた値を確かめずに命令として実行してしまう（コマンドインジェクション）。操作先のパソコンを乗っ取れる |
| CVE-2026-28335 | 8.4（重要） | 決められた大きさを超えるデータでメモリを壊す（バッファオーバーフロー）。外からプログラムを動かせる。ただし狙うのは難しい |
どちらもログインが必要です。ただし、必要なのは「弱い権限の」アカウントで十分とされています。また、影響が Dameware の外（操作先のパソコン）にまで及ぶため、CVSS では最高に近い点数になっています。
同じ修正版では、インストールのときだけ起きる欠陥（CVE-2026-28327）と、ほかのソフトから入り込んだ圧縮の部品（Brotli）の欠陥も直っています。
何が起きたか
- 11月3日：SolarWinds が欠陥を公表し、修正版 Dameware 2026.3.1 を公開
- 見つけたのは、米ボーイング社のセキュリティチームの研究者です
- 米 CISA の評価では、今のところ「悪用なし」「自動で大量に攻撃するのは難しい」、ただし影響は「全面的」とされています
悪用の報告も、攻撃コードの公開もありません。大きなセキュリティ報道もまだ少なく、気づかれにくいニュースです。
そこが落とし穴だ！
攻撃者は、フィッシングやパスワードの使い回しで、だれかのアカウントを手に入れるところから始める。弱い権限のアカウント1つでいいなら、ハードルはかなり低い。
しかも Dameware は、社内のパソコンをまとめて操作できる道具だ。1つのアカウントから、社内全体に広がる入口になりかねないんだ！
どんな問題があるか
- 操作先のパソコンを乗っ取られる：Dameware のエージェントは強い権限で動いているため、乗っ取られるとそのパソコンで何でもできてしまいます
- 社内全体に広がる：リモート操作ツールは、多くのパソコンやサーバーにつながっているのが当たり前です。攻撃者はこれを使って、次々にほかのパソコンへ移っていきます（横展開）
- 正規のツールなので気づきにくい：攻撃者が正規のリモート操作ツールを使うと、ふだんの保守作業と見分けがつきにくいのです。実際に過去には、攻撃グループが Dameware を使って社内を移動した例が知られています
Dameware は過去にも狙われてきた
Dameware は、2003年にログインなしで狙える欠陥が実際に悪用され、2019年にもログインなしで乗っ取れる欠陥が見つかっています。リモート操作ツールは、攻撃者が最初に探す道具の一つです。
なぜリモート操作ツールが狙われるのか
攻撃者の動きを整理した世界的な一覧（MITRE ATT&CK）にも、「リモート操作ツールの悪用」は独立した項目として載っています。理由は次のとおりです。
- 最初から強い権限を持っている：画面を見て操作するため、操作される側では管理者に近い権限で動いています
- たくさんのパソコンにつながっている：1か所を押さえれば、一度に多くのパソコンに手が届きます
- ウイルス対策ソフトに止められにくい：会社が正式に入れたツールなので、怪しいソフトとして扱われにくいのです
- ふだんの作業にまぎれる：保守会社が夜中に作業することもあるため、攻撃との見分けがつきにくいのです
ランサムウェアの被害でも、リモート操作ツールを入口や移動の道具に使われた例は少なくありません。
リモート操作ツールを安全に使うためのチェックリスト
- 社内で使っているリモート操作ツールをすべて把握している
- ツールは最新の版に更新されている
- ツールにログインできる人が必要最小限になっている
- ログインに多要素認証を使っている
- 保守会社が使うアカウントは、作業のときだけ有効にしている
- だれが、いつ、どのパソコンに入ったか、記録が残っている
- 使っていないツールやエージェントは消してある
臨時の対処（すぐ更新できないとき）
SolarWinds は、回避策を出していません。更新までのあいだは、次のような守りで被害の広がりを抑えます。
- Dameware を使える人を絞る
本当に必要な担当者だけにアカウントを残し、退職者や使っていないアカウントは消します。 - ログインに多要素認証を使う
パスワードだけで入れないようにすれば、アカウントを盗まれても使われにくくなります。 - Dameware の通信を、決まった端末からだけにする
ファイアウォールで、操作する側のパソコンを限定します。社外や一般社員のパソコンから、エージェントに届かないようにします。 - おかしな動きを見張る
EDR などで、Dameware のエージェントがふだんと違うプログラムを起動していないかを見ます。
正しい対処
- Dameware 2026.3.1 に更新する
操作する側（コンソール）と、操作される側（エージェント）の両方が対象です。更新の前に、登録している接続先の一覧や設定の控えを取っておきましょう。 - 古い版（12.3 系）は早めに移行する
12.3 系は2026年6月に開発が終わり、2027年6月にサポートが終わります。 - リモート操作ツールの「棚卸し」をする
Dameware のほかにも、TeamViewer、AnyDesk、Windows のリモートデスクトップなど、社内で使われているリモート操作ツールをすべて洗い出し、使っていないものは消します。 - 保守会社が使っているツールも確認する
保守会社が自社のツールで社内のパソコンにつないでいる場合、そのツールの更新状況も聞いておきましょう。
これを送れ！
「SolarWinds Dameware の脆弱性 CVE-2026-28336 / 28335 について確認させてください。弊社のパソコンやサーバーへの遠隔サポートで、Dameware を使っていますか。使っている場合は、2026.3.1 への更新の予定日を教えてください。あわせて、弊社のパソコンに入っている遠隔操作のツールの一覧と、使える担当者の範囲、ログインに多要素認証を使っているかも教えてください。」
「だれが、どのツールで、うちのパソコンに入れるのか」——これを把握していない会社は多い。この機会に一覧をもらっておけ！
まとめ
- 原因は、送られた値を確かめずに命令として実行してしまう欠陥など2件
- 弱い権限のアカウント1つで、操作先のパソコンを乗っ取れる。悪用の報告はまだない
- つなぎは使える人を絞る・多要素認証・通信元の限定、正しい対処は 2026.3.1 への更新
- リモート操作ツールは社内全体の合鍵。ツールの棚卸しもあわせて