「SolarWinds WHD」に深刻な脆弱性 - 過去の修正をバイパス

組織のヘルプデスク運用を支援するソリューション「SolarWinds Web Help Desk（WHD）」に過去の脆弱性修正をバイパスできることに起因するあらたな脆弱性が確認された。関連する脆弱性はこれまでも悪用が確認されており、注意が必要となる。

現地時間2025年9月17日にセキュリティアドバイザリを公開し、認証を必要とすることなく、リモートからコードを実行できる脆弱性「CVE-2025-26399」について明らかにしたもの。

「AjaxProxy」の処理において信頼できないデータを逆シリアル化するため、細工したデータが送信されると、ホスト上で任意のコマンドを実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

2024年に報告された脆弱性「CVE-2024-28986」や、同脆弱性の調査を通じて判明した「CVE-2024-28988」の修正をバイパスできることに起因。「CVE-2024-28986」は実際に攻撃対象となっており、「悪用が確認された脆弱性カタログ（KEV）」にも登録されている。

同問題を受けて、同社は脆弱性を解消した「Web Help Desk 12.8.7 HF1」を提供しており、利用者に注意を呼びかけている。

（Security NEXT - 2025/09/24 ）ツイート