Dell Wyse Management SuiteのSQL脆弱性、2605で修正

企業が大量の「シンクライアント」（処理をサーバー側に任せる、画面と入力中心の業務用端末）をまとめて管理するDell製ソフト「Wyse Management Suite（WMS）」は、2605より前の全バージョンにSQLインジェクション（管理画面の裏で動くデータベースに想定外の命令を実行させる欠陥。後述）を抱えています。修正版の2605が公開済みで、2605以降なら対処は不要、それより前なら更新が必要。これからWMSを導入する場合も、運用中のものを点検する場合も、まずバージョンが2605以降かを確認してください。

中心となる脆弱性の識別番号は CVE-2026-44272、深刻度を示すCVSSスコアは8.8（上から2番目の「重要（High）」水準）です。Dellの公式アドバイザリ（DSA-2026-247）として2026年6月に公開され、NVDにも登録されています。同じDSA-2026-247では、姉妹にあたるもう1件のSQLインジェクション CVE-2026-44271 も同時に修正されており、こちらも修正版は2605です。つまり2605へ上げれば、この2件のSQLの穴はまとめて塞がります。

欠陥の種類はどちらも「SQLインジェクション」です。ログインの権限を持つ攻撃者が、入力欄などに細工した文字列を送り込み、管理画面の裏で動くデータベースに想定外の命令を実行させることで、本来は見えないはずの情報や操作に手を伸ばせる、という問題です。Dellは「低い権限の攻撃者が遠隔から悪用でき、認可されていないアクセスにつながり得る」と説明しています。

この欠陥は誰に、どんな被害をもたらすのか

狙えるのは、WMSの管理画面に「低い権限」でログインできる立場の攻撃者です。たとえば、限られた操作だけを許された運用担当アカウントを持つ人物、盗み取った権限の低いログイン情報を使う攻撃者、あるいは悪意ある内部関係者などが当てはまります。誰でもインターネットから無条件に、という性質ではなく、まず最小限のアクセス権を手にしていることが前提になります。

その立場から、攻撃者はSQLインジェクションを使って本来の権限では触れないはずのデータベースの情報や操作にアクセスします。低い権限しか与えられていないはずのアカウントが、管理用データベースの中身に手を伸ばせてしまう、というのがこの欠陥の怖さです。

WMSは、社内に配られた多数のシンクライアント端末を一括で管理する司令塔です。ここが侵されると、管理下の端末の一覧や構成情報、運用に使う各種の設定が攻撃者の目に触れ、場合によっては端末群そのものへの不正な指示や、さらなる侵入の足場づくりにつながる恐れがあります。シンクライアントは医療・金融・コールセンター・小売など、止められない現場で広く使われており、その管理基盤が崩れる影響は小さくありません。だからこそ、後述する更新が急がれます。

技術的に何が起きているのか

分類はCWE-89（SQLコマンドに使う特殊文字の不適切な無害化＝SQLインジェクション）です。アプリがデータベースへ問い合わせる際、利用者から受け取った文字列を命令の一部として組み立てる場面で、特殊な文字を無害化しきれていないと、攻撃者は入力に紛れ込ませた断片をそのまま命令として実行させられます。これにより、想定外の読み取りや書き換えが可能になります。CVE-2026-44272 と姉妹の CVE-2026-44271 は、この同じ種類の穴が別々の入力箇所に開いていたもので、どちらも2605で塞がれました。報告者は Duc Luong Tran 氏と Huynh Dinh Vu 氏です。

CVE-2026-44272 のCVSSベクトルは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。ネットワーク経由・低い難度・利用者の操作は不要で、機密性・完全性・可用性のいずれにも「高」の影響があります。ただし PR:L、つまり「低い権限のログイン」が必要な点が、認証なしで踏める欠陥との違いです。それでも、内部に足場を得た攻撃者の被害拡大には十分な深刻度として、Dellは8.8と評価しています。

WMSはこれが初めての脆弱性ではなく、直近ではSQLインジェクションよりも危険な欠陥も別途修正されています。DSA-2026-225では、信頼できないデータを受理してしまうことで遠隔からコードを実行されるCVE-2026-41120（CVSS 9.8、最上位の「緊急（Critical）」）と、想定外のファイルパスをたどられるパストラバーサルのCVE-2026-49506（CVSS 7.2）が修正され、こちらの修正版は「5.5 HF1」として案内されています。さらに古くは2026年2月のDSA-2026-103でも複数の脆弱性（遠隔コード実行のCVE-2026-22766など）が直されています。管理基盤として継続的に狙われ・直され続けている製品なので、導入している組織は更新を定期的に追う運用が欠かせません。

やや紛らわしいのは、Dellが修正版を案内するときのバージョン表記が一致していない点です。SQLインジェクション（DSA-2026-247）の修正版は「2605」、上記の遠隔コード実行など（DSA-2026-225）の修正版は「5.5 HF1」と、別の体系で書かれています。どちらがより新しいビルドなのかは公式アドバイザリ本文で確認できていません。そのため、更新の際は片方の番号だけを見て安心せず、自分のWMSがどのアドバイザリの対象に当たるかを確認し、Dellが最新として案内する版まで上げるのが安全です。

2026年7月24日時点の状況

公開から約1ヶ月が経ちますが、いまのところ広範な悪用は表面化していません。とはいえ攻撃の性質は公開情報で説明されており、対象は「2605より前の全バージョン」と広いままです。悪用が始まってから慌てるより、対象に当たるなら早めに更新しておくのが最も低コストな対応です。

いま何をすべきか

最優先は、Wyse Management Suiteを修正版2605以降に更新することです。Dellの公式アドバイザリDSA-2026-247に、対象と修正版、入手先がまとめられています。2605より前を使っているなら、CVE-2026-44272・CVE-2026-44271の両方の対象だと考えてください。あわせて、前述の遠隔コード実行など（DSA-2026-225、修正版「5.5 HF1」）の対象にも当たっていないかを確認し、Dellが最新として案内する版まで上げておくと確実です。

すぐに更新できない場合は、被害の前提を狭める対策が有効です。WMSの管理画面をインターネットに直接公開せず、社内ネットワークやVPNの内側に置く。ログインできるアカウントを棚卸しし、不要な権限や使われていないアカウントを削る。低権限アカウントのパスワードを見直し、漏えいの兆候がないか確認する。こうした基本が、ログイン前提のこの欠陥には特に効きます。あわせて、Dellのセキュリティ情報を定期的に確認し、WMSの更新を取りこぼさない運用にしておくとよいでしょう。

まとめ

Dell Wyse Management Suiteは、シンクライアントを一括管理する製品で、2605より前の全バージョンにSQLインジェクションの穴があります。中心はCVSS 8.8のCVE-2026-44272で、姉妹のCVE-2026-44271とあわせてDSA-2026-247で修正され、どちらも修正版は2605です。低い権限でログインできる攻撃者が、本来触れないはずのデータベースの情報や操作に手を伸ばせるため、認証を要する分だけ無条件の乗っ取りよりは前提が要りますが、内部に入り込んだ攻撃者の被害拡大を許す穴です。

同じ製品では、より危険な遠隔コード実行（CVE-2026-41120、CVSS 9.8）なども別のアドバイザリで直っています。端末を束ねる管理基盤は、攻撃者にとって少ない労力で広く手を伸ばせる的になりがちです。使っているなら2605以降か、そしてDellが案内する最新版まで上がっているかを確認し、ログインできる範囲の見直しとあわせて点検しておくことをおすすめします。

参照元

• ・NVD — CVE-2026-44272 詳細
• ・Dell 公式アドバイザリ（DSA-2026-247）
• ・CVE-2026-44271（姉妹のSQLインジェクション・2605で修正）
• ・Dell 公式アドバイザリ（DSA-2026-225・遠隔コード実行CVE-2026-41120など）
• ・参考：WMSの緊急脆弱性の解説（CVE-2026-41120 / CVE-2026-49506）
• ・Dell セキュリティ情報一覧
• ・CWE-89（SQLインジェクション）
• ・参考：過去のWMS脆弱性（DSA-2026-103）
• ・Dell — Wyse Management Suite 製品ページ