SolarWinds Serv-Uに脆弱性15件 CVE-2026-28302ほか、修正版は2026.3

企業のファイル送受信に広く使われる「SolarWinds Serv-U（ソーラーウィンズ サーブユー）」に、脆弱性が15件まとめて見つかりました。うち14件は危険度9.1（緊急）で、CVE-2026-28302をはじめとするこれらの欠陥により、管理者権限を持つ利用者が本来の制限を越えてサーバー上のファイルを読み書きし、最終的にサーバー上でのプログラム実行（乗っ取り）に至る恐れがあります。とくにLinux／Unix版で影響が大きいとされています。

対象はServ-U 15.5.4 Hotfix 1（HF1）以前のすべてのバージョンで、修正版は2026年7月21日公開のServ-U 2026.3です。Serv-Uはファイル転送の「ハブ」として機密データが集まる場所であり、同製品では直前にも実際に攻撃へ悪用されたサービス停止の脆弱性（CVE-2026-28318）が出たばかりです。何が起きるのか、どう対処するのかを順に説明します。

誰が、何のために狙うのか

危険度9.1と評価された14件を悪用できるのは、Serv-Uの管理者アカウント（ドメイン管理者やグループ管理者）を持っている、あるいは何らかの方法でそれを手に入れた相手です。ログイン不要で外部の誰でも、という脆弱性ではありません。ただし、悪意ある内部関係者、フィッシングなどで管理者の認証情報を盗んだ攻撃者、あるいは別の経路でサーバーに侵入して権限を広げようとする攻撃者にとっては、格好の「次の一手」になります。

攻撃者はこの欠陥群を使い、本来は許されないはずのファイルの読み書きを、対象を取り違えさせる手口（IDOR）で成立させ、そこからサーバー上でのプログラム実行へつなげます。IDOR（不適切な直接オブジェクト参照）とは、本来アクセスできない対象を、識別番号などを差し替えることで不正に操作してしまう欠陥のことです。結果として、SolarWindsは「特権（root／管理者）でのネイティブコード実行に至りうる」と説明しています。とくにLinux／Unix環境では、この特権の影響が大きくなります。

被害の規模は小さくありません。Serv-Uのようなファイル転送サーバーは、社内外でやり取りされる契約書・個人情報・機密ファイルが通過・保管される要所です。乗っ取られれば、これらの一括持ち出し、改ざん、社内ネットワークへの侵入の足がかりにされる恐れがあります。ファイル転送製品は、過去に大規模な情報窃取・恐喝の標的になってきた分野でもあり、管理者権限が前提とはいえ油断はできません。だからこそ、後述する更新を早めに済ませておく必要があります。

15件はいずれも、SolarWindsが運営するIntigritiのバグバウンティ（報奨金）プログラムを通じて報告されました。リリースノートに個人名や調査チーム名の記載はなく、発見者による技術解説も公開されていません。手口の詳細が出回っていない分、いまのところ攻撃側が再現しやすい状況にはなっていない、と読めます。

見つかった15件の内訳

15件のうち14件は、いずれも「アクセス制御の不備（Broken Access Control）」や「IDOR」によって、本来の権限の枠を越えてファイルを読み書きし、特権でのコード実行につなげられるという同じ系統の欠陥です。すべて危険度9.1（緊急）で評価され、悪用にはServ-Uの管理者権限が必要という前提を共有します。細かな入口（どの機能・どのパラメータを突くか）は異なりますが、行き着く先はいずれも「制限を越えたファイル操作」と「サーバー乗っ取り」です。残る1件のCVE-2026-28315だけは系統が異なり、管理コンソールに仕込んだ文字列が管理者の画面で実行される保存型XSSで、セッションの乗っ取りや情報漏えいにつながります。

これだけの数が一度に公表されたのは、Serv-Uの権限まわりの設計に共通した弱点があり、それが機能ごとに表面化したためと見られます。個々のCVE番号は異なりますが、「1つでも成立すれば特権での乗っ取りに至りうる」以上、まとめてServ-U 2026.3へ更新するのが唯一の確実な対処です。

なお、一部の記事や一覧ではCVE-2026-28303やCVE-2026-28311が今回の対象として挙げられることがありますが、この2つはNVDで検索しても登録がありません。28303はSolarWindsのリリースノートにも記載がなく、28311はリリースノートの一覧には載っているものの、本記事更新時点でNVD側の登録がない状態です。CVE番号を突き合わせて管理している場合は、上の表の15件を基準にしてください。

影響範囲（バージョン・OS早見表）

影響するかどうかは、稼働しているServ-Uのバージョンで決まります。管理コンソールの表示や、インストール情報からバージョンを確認してください。

SolarWindsは、Linux／Unix環境の方がWindows環境よりも影響が大きいと説明しています。ただしWindows版でも脆弱性は存在するため、OSにかかわらず更新は必要です。インターネットに公開しているServ-Uはとくに、万一管理者アカウントが乗っ取られた場合の被害が大きくなるため、優先的に対処してください。

バージョン番号の付け方が変わりました

今回の更新でつまずきやすいのが、バージョン表記です。SolarWindsはServ-Uを「15.5.4」のような枝番方式から、「2026.3」のように年を先頭に置くカレンダー方式へ切り替えました。そのため、15.5.4 HF1の次に来るのは15.5.5でも15.5.4 Hotfix 2でもなく、2026.3です。社内の資産管理台帳やパッチ適用手順に「15.5.x系の最新へ」と書いてある場合は、この機会に書き換えておいてください。

現行版がどれなのかは、SolarWindsのServ-Uリリース履歴の冒頭に「Current version」として示されています。修正されたCVEの一覧と、それぞれの説明・危険度・報告元は2026.3のリリースノートにまとまっています。NVDも各CVEの修正参照先としてこのリリースノートを挙げているので、突き合わせる際の基準にできます。

いま何をすればいいのか

対処は、Serv-Uを2026.3へ更新することです。今回の15件はいずれも管理者権限が前提のため無認証で一斉に狙われる類ではありませんが、1件でも成立すれば特権での乗っ取りに至りうるため、まとめて塞ぐのが確実です。配布物とリリースノートは、SolarWindsのセキュリティ勧告（Trust Center）および2026.3のリリースノートから確認できます。

すぐに更新できない場合は、つなぎの措置として、Serv-Uの管理者アカウントを棚卸しし、不要な管理者権限を減らす・強固な認証（多要素認証）を徹底する・管理コンソールへの到達経路を絞ることが有効です。管理者権限の悪用が前提の欠陥であるため、「そもそも管理者になれる相手を絞る」ことが被害の抑制につながります。あわせて、無認証で悪用できるサービス停止の脆弱性（CVE-2026-28318）の対処が済んでいるかも確認してください（15.5.4 HF1で修正済み、2026.3にも引き継がれています）。

本記事更新時点で、今回の15件が実際の攻撃に使われたという報告はありません。攻撃手順を再現するPoCコードもGitHub上で見つからず、専門媒体も「PoCの公開も実際の悪用も確認されていない」としています。米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」にも登録されていません。2026.3の公開以降、Serv-Uに新しいCVEやホットフィックスは出ていない状況です。攻撃の広がりは、攻撃中の脆弱性を追う一覧（日本語版）で確認できます。

既報のCVE-2026-28318はどうなったか

今回の15件とは別に、Serv-Uには実際に悪用されたサービス停止（DoS）の脆弱性CVE-2026-28318があります。こちらは無認証で悪用でき、CISAのKEVに2026年6月5日付で登録、米連邦政府機関の対処期限は6月19日でした。修正は15.5.4 Hotfix 1（2026年6月3日）で、2026.3にもそのまま引き継がれています。

KEVに載ってはいるものの、誰が攻撃しているのかは今も分かっていません。CISAの記載でもランサムウェアでの利用は「不明（Unknown）」のままで、特定の攻撃グループへの結び付けは公表されていません。ネット上に露出しているServ-Uは、Shodanの調べで約12,000台、Shadowserverの観測で約3,100台とされ、標的になりうる母数は依然として小さくありません。

ひとつ注意したいのが、検索すると出てくる「Serv-Uとランサムウェア集団Clop」「攻撃グループDEV-0322」といった話です。これらは2021年に公表された別の脆弱性CVE-2021-35211に関する情報で、今回のCVE-2026-28318や15件とは無関係です。社内で状況を共有する際は、この混同を避けてください。

よくある質問（FAQ）

まとめ

企業のファイル送受信に使われる「SolarWinds Serv-U」に、脆弱性が15件まとめて見つかりました。うち14件は危険度9.1で、CVE-2026-28302をはじめとするアクセス制御・IDORの欠陥により、管理者権限を持つ相手が制限を越えてファイルを読み書きし、特権でのプログラム実行（乗っ取り）に至りうるとされています。残る1件のCVE-2026-28315は保存型XSS（6.2）で、管理者アカウントからのセッション乗っ取りや情報漏えいにつながります。いずれもIntigritiのバグバウンティプログラム経由で報告され、実際の悪用やPoCの公開は確認されていません。

対処はServ-U 2026.3への更新です。ここで引っかかりやすいのがバージョン表記で、SolarWindsはカレンダー方式へ切り替えたため15.5.5も15.5.4 Hotfix 2も存在せず、15.5.4 HF1の次は2026.3になります。あわせて、管理者アカウントの棚卸しと多要素認証、管理コンソールへの到達経路の制限も有効です。既報のCVE-2026-28318はKEV登録済みですが攻撃者の特定には至っておらず、検索で見かける「Clop」「DEV-0322」は2021年の別件（CVE-2021-35211）の話です。混同せずに、まずは2026.3への更新を済ませておくのが安全です。

参照元

• ▸ SolarWinds - Serv-U 2026.3 リリースノート（2026年7月21日・修正CVE一覧と報告元）
• ▸ SolarWinds - Serv-U リリース履歴（Current version: 2026.3）
• ▸ NVD - CVE-2026-28302（SolarWinds Serv-U アクセス制御不備／IDOR→特権コード実行）ほか本文の各CVE
• ▸ NVD - CVE-2026-28315（SolarWinds Serv-U 保存型XSS・6.2）
• ▸ SolarWinds - セキュリティ勧告（Trust Center）
• ▸ CISA - Known Exploited Vulnerabilities Catalog（CVE-2026-28318の登録状況）
• ▸ SolarWinds Serv-U 製品ページ
• ▸ 関連: SolarWinds Serv-Uのサービス停止脆弱性 CVE-2026-28318（当サイト）
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）