企業向けファイル転送『SolarWinds Serv-U』に脆弱性14件 CVE-2026-28302ほか、管理者権限からサーバー乗っ取りの恐れ

企業のファイル送受信に広く使われる「SolarWinds Serv-U（ソーラーウィンズ サーブユー）」に、危険度9.1（緊急）の脆弱性が14件まとめて見つかりました。CVE-2026-28302をはじめとする一連の欠陥で、管理者権限を持つ利用者が本来の制限を越えてサーバー上のファイルを読み書きし、最終的にサーバー上でのプログラム実行（乗っ取り）に至る恐れがあります。とくにLinux／Unix版で影響が大きいとされています。

対象はServ-U 15.5.4 Hotfix 1（HF1）以前のすべてのバージョンです。開発元のSolarWindsは、これらを修正した最新のHotfixを公開しています。Serv-Uはファイル転送の「ハブ」として機密データが集まる場所であり、同製品では直前にも実際に攻撃へ悪用されたサービス停止の脆弱性（CVE-2026-28318）が出たばかりです。何が起きるのか、どう対処するのかを順に説明します。

誰が、何のために狙うのか

この14件を悪用できるのは、Serv-Uの管理者アカウント（ドメイン管理者やグループ管理者）を持っている、あるいは何らかの方法でそれを手に入れた相手です。ログイン不要で外部の誰でも、という脆弱性ではありません。ただし、悪意ある内部関係者、フィッシングなどで管理者の認証情報を盗んだ攻撃者、あるいは別の経路でサーバーに侵入して権限を広げようとする攻撃者にとっては、格好の「次の一手」になります。

攻撃者はこの欠陥群を使い、本来は許されないはずのファイルの読み書きを、対象を取り違えさせる手口（IDOR）で成立させ、そこからサーバー上でのプログラム実行へつなげます。IDOR（不適切な直接オブジェクト参照）とは、本来アクセスできない対象を、識別番号などを差し替えることで不正に操作してしまう欠陥のことです。結果として、SolarWindsは「特権（root／管理者）でのネイティブコード実行に至りうる」と説明しています。とくにLinux／Unix環境では、この特権の影響が大きくなります。

被害の規模は小さくありません。Serv-Uのようなファイル転送サーバーは、社内外でやり取りされる契約書・個人情報・機密ファイルが通過・保管される要所です。乗っ取られれば、これらの一括持ち出し、改ざん、社内ネットワークへの侵入の足がかりにされる恐れがあります。ファイル転送製品は、過去に大規模な情報窃取・恐喝の標的になってきた分野でもあり、管理者権限が前提とはいえ油断はできません。だからこそ、後述する更新を早めに済ませておく必要があります。

見つかった14件の共通点

今回まとめて公表された14件は、いずれも「アクセス制御の不備（Broken Access Control）」や「IDOR」によって、本来の権限の枠を越えてファイルを読み書きし、特権でのコード実行につなげられるという同じ系統の欠陥です。すべて危険度9.1（緊急）で評価され、悪用にはServ-Uの管理者権限が必要という前提を共有します。細かな入口（どの機能・どのパラメータを突くか）は異なりますが、行き着く先はいずれも「制限を越えたファイル操作」と「サーバー乗っ取り」です。

これだけの数が一度に公表されたのは、Serv-Uの権限まわりの設計に共通した弱点があり、それが機能ごとに表面化したためと見られます。個々のCVE番号は異なりますが、「1つでも成立すれば特権での乗っ取りに至りうる」以上、まとめて修正版へ更新するのが唯一の確実な対処です。なお、直前に公開されたサービス停止の脆弱性CVE-2026-28318は、無認証で悪用でき実際の攻撃も観測された別系統の欠陥です（そちらは15.5.4 HF1で修正済み）。

影響範囲（バージョン・OS早見表）

影響するかどうかは、稼働しているServ-Uのバージョンで決まります。管理コンソールの表示や、インストール情報からバージョンを確認してください。

SolarWindsは、Linux／Unix環境の方がWindows環境よりも影響が大きいと説明しています。ただしWindows版でも脆弱性は存在するため、OSにかかわらず更新は必要です。インターネットに公開しているServ-Uはとくに、万一管理者アカウントが乗っ取られた場合の被害が大きくなるため、優先的に対処してください。

いま何をすればいいのか

対処は、SolarWindsのセキュリティ勧告に沿って、Serv-Uを最新のHotfix（15.5.4 HF1より後の修正版）へ更新することです。今回の14件はいずれも管理者権限が前提のため無認証で一斉に狙われる類ではありませんが、1件でも成立すれば特権での乗っ取りに至りうるため、まとめて塞ぐのが確実です。最新の修正版とリリースノートは、SolarWindsのセキュリティ勧告（Trust Center）で確認できます。

すぐに更新できない場合は、つなぎの措置として、Serv-Uの管理者アカウントを棚卸しし、不要な管理者権限を減らす・強固な認証（多要素認証）を徹底する・管理コンソールへの到達経路を絞ることが有効です。管理者権限の悪用が前提の欠陥であるため、「そもそも管理者になれる相手を絞る」ことが被害の抑制につながります。あわせて、無認証で悪用できるサービス停止の脆弱性（CVE-2026-28318）の対処（15.5.4 HF1以降）が済んでいるかも確認してください。

本記事の公開時点では、今回の14件が実際の攻撃に使われたという報告や、米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」への登録は確認されていません。ただしSolarWinds Serv-Uは直前に別の脆弱性が実際に悪用されKEVへ登録された経緯があり、注目度の高い製品です。攻撃の広がりは、攻撃中の脆弱性を追う一覧（日本語版）で確認できます。

よくある質問（FAQ）

まとめ

企業のファイル送受信に使われる「SolarWinds Serv-U」に、危険度9.1の脆弱性が14件まとめて見つかりました。CVE-2026-28302をはじめとするアクセス制御・IDORの欠陥で、管理者権限を持つ相手が制限を越えてファイルを読み書きし、特権でのプログラム実行（乗っ取り）に至りうるとされています。悪用には管理者権限が要るため無認証で一斉に狙われる類ではありませんが、内部犯行や乗っ取られた管理者アカウント、侵入後の権限拡大では現実的な脅威です。とくにLinux／Unix版で影響が大きくなります。

対処は、SolarWindsの勧告に沿って最新のHotfix（15.5.4 HF1より後の修正版）へ更新することです。あわせて、管理者アカウントの棚卸しと多要素認証、管理コンソールへの到達経路の制限も有効です。Serv-Uは機密ファイルが集まる要所であり、直前にも別の脆弱性が実際に悪用されたばかりです。1件でも塞ぎ残せば特権での乗っ取りにつながりうるため、更新は先延ばしにせず済ませておくのが安全です。

参照元

• ▸ NVD - CVE-2026-28302（SolarWinds Serv-U アクセス制御不備／IDOR→特権コード実行）ほか本文の各CVE
• ▸ SolarWinds - セキュリティ勧告（Trust Center・最新Hotfixとリリースノート）
• ▸ SolarWinds Serv-U 製品ページ
• ▸ 関連: SolarWinds Serv-Uのサービス停止脆弱性 CVE-2026-28318（当サイト）
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）