SolarWinds Serv-U の深刻な脆弱性 15 件が FIX：RCE や root 権限昇格などの恐れ

SolarWinds Serv-U Update Fixes 15 Critical Vulnerabilities Enabling Remote Code Execution as Root

2026/07/22 gbhackers — SolarWinds がリリースした Serv-U 2026.3 は、リモートコード実行 (RCE) と Unix 系システム上での root 権限昇格の脆弱性 (CVSS 9.1：Critical) を修正するものだ。Managed File Transfer (MFT) および FTP サーバ・プラットフォームにおける潜在的な乗っ取りへの対策などが、この更新により大幅に強化される。Windows インスタンスは影響が低いと評価されているが、このリリースで対処された問題の範囲は広いため、インターネットに露出しているファイル転送インフラのアップグレードが不可欠となる。

SolarWinds Serv-U 更新が 15 件の CVE を修正

バージョン 2026.3 のリリースノートに記載されるのは、Serv-U MFT と Serv-U FTP Server の双方に存在する、15 件の高深刻度の脆弱性に関する情報である。これらの脆弱性の多くは、Broken Access Control や Insecure Direct Object References (IDOR) などの欠陥に起因し、システムの完全な侵害につながる可能性がある。

認証済みのドメイン管理者またはグループ管理者が、権限をシステム・レベルまで昇格して root として任意のコードを実行するという事態が、一連の問題により引き起こされる。それにより、攻撃者は Unix 系システム上でシェル・レベルの制御を取得できる。その一方で、Windows デプロイメントでは、権限昇格が生じても、被害は限定的な範囲に留まるという。

Linux 系において重要なのは、root としてのリモートコード実行が、複数の IDOR インスタンスにおいて可能になる点である。具体的には、攻撃者がホーム・ディレクトリへの書き込みアクセスを持つドメイン管理者アカウントを取得した場合と、SMTP とアカウント処理プロセスを悪用して任意のアカウント乗っ取りを行った場合に、このような事態が生じる。

ドメイン管理者に対して、新たなシステム管理者アカウントの作成やユーザータイプの変更を許す Broken Access Control と、これらの欠陥が組み合わされると、アプリケーション・レベルからサーバの完全な侵害へと攻撃者が移行するための、信頼性の高い悪用経路が形成される。

Serv-U 2026.3 では、それぞれの脆弱性への対処に加えて、将来的なコード・インジェクションと Web クライアント悪用のリスク低減を目的とした、複数のセキュリティ・ハードニング施策が実装されている。

Content Security Policies が強化され、Permissions-Policy や各種 Cross-Origin Policy などの新しいブラウザ・セキュリティ・ヘッダが実装された。それにより、Web クライアントがロード／実行する内容が制限される。

多要素認証サポートは、Microsoft Active Directory と一般的な LDAP ユーザーを取り込むように拡張された。これにより、ローカル・アカウントとデータベース・アカウントに限定されていた、強力な認証の強制が広範に及ぶようになった。

また、SolarWinds は、格納型クロスサイト・スクリプティング (XSS) 脆弱性も解決した。この脆弱性を悪用する攻撃者は、アプリケーション内に保存された悪意の細工済みコンテンツを通じて、管理者アカウントのセッションに対するハイジャックやデータの外部流出を可能にする。

さらに、アップロード失敗に関するログの強化／古いファイル共有ページの処理改善／Safari と Firefox におけるレンダリング問題などのクライアント互換性に関する改善により、総体として運用上のセキュリティ可視性が向上し、未検出の障害によるリスクを低減する。

CVE IDTitleDescription (short)CVSSRequirement / Notes
CVE-2026-28302Serv-U IDORIDOR leading to privilege escalation and RCE as root; requires group administrator access; lower impact on Windows.9.1Group admin needed; impact lower on Windows.
CVE-2026-28304Serv-U RCERCE enabling arbitrary code execution remotely as root; lower impact on Windows.9.1Remote code execution as root.
CVE-2026-28305Serv-U IDORIDOR leading to RCE as root; needs domain admin with read/write access to home directory; lower impact on Windows.9.1Domain admin with home-dir access required.
CVE-2026-28306Serv-U privilege escalationDomain administrator can elevate to system administrator; lower impact on Windows.9.1Domain admin to system admin escalation.
CVE-2026-28307Serv-U privilege escalationDomain user group can be elevated into administrator group; lower impact on Windows.9.1Group-level escalation to admin.
CVE-2026-28308Serv-U IDORIDOR leading to RCE; domain administrator access required; lower impact on Windows.9.1Domain admin prerequisite.
CVE-2026-28309Serv-U broken access controlDomain administrator can create system administrator accounts; lower impact on Windows.9.1Arbitrary system admin creation.
CVE-2026-28310Serv-U privilege escalationDomain administrator can escalate their user type to system administrator; lower impact on Windows.9.1Direct type change to system admin.
CVE-2026-28311Serv-U RCEDomain administrator can modify application behavior leading to RCE; lower impact on Windows.9.1Behavior modification to reach RCE.
CVE-2026-28312Serv-U privilege escalationGroup’s access elevated to system administrator, enabling code execution as root; lower impact on Windows.9.1Group-to-system admin, root code execution.
CVE-2026-28313Serv-U IDORIDOR enabling SMTP hijacking and arbitrary account takeover; lower impact on Windows.9.1SMTP hijack → account takeover.
CVE-2026-28314Serv-U IDORIDOR leading to account takeover; user authentication required; lower impact on Windows.9.1Authenticated user takeover path.
CVE-2026-28315Serv-U stored XSSStored XSS enabling session hijacking or information disclosure from admin accounts.6.2Medium; admin-focused XSS risk.
CVE-2026-28316Serv-U IDORIDOR allowing privilege escalation to system administrator and root command execution; domain admin needed; lower impact on Windows.9.1Domain admin to root via system admin.
CVE-2026-28317Serv-U IDORIDOR leading to privilege escalation; domain administrator access required; lower impact on Windows.9.1Additional domain admin escalation path.
CVE-2026-28321Serv-U broken access controlBroken access control enabling arbitrary file read/write, then privilege escalation and root code execution; domain admin required; lower impact on Windows.9.1File abuse → root RCE via domain admin.

旧バージョンである Serv-U 15.5.1 以前を運用している組織は、不安定な状況に置かれている。End-of-Engineering と End-of-Life のタイムラインにより、これらのバージョンはセキュリティ更新を受け取れなくなる。

CISA の Known Exploited Vulnerabilities カタログに、Serv-U の RCE 脆弱性が掲載されてきた履歴を踏まえると、日和見的攻撃と標的型攻撃の双方において、一連の脆弱性 (CVSS 9.1) は高確率で狙われる標的として扱われるべきである。

ユーザーに強く推奨されるのは、すべての Serv-U MFT および FTP インスタンスを直ちにバージョン 2026.3 へとアップグレードすることだ。防御側のベスト・プラクティスには、管理アクセスの制限とサポートされる全 ID ストアでの多要素認証の強制に加えて、悪用試行を示す異常な管理者作成やコンフィグ変更の有無をログで確認することが含まれる。

訳者後書：SolarWinds Serv-U において、アクセス制御やデータ処理の欠陥により、システム最高権限を奪われる恐れのある不具合が公表されました。管理者権限の不当な昇格や設定変更を許してしまう状態が生じ、サーバ全体を乗っ取られる危険性があります。該当する CVE ID は CVE-2026-28302 〜 CVE-2026-28317 と CVE-2026-28321 です。対策として、修正プログラムであるバージョン 2026.3 への迅速なバージョンアップを実施し、多要素認証の設定やログ管理を徹底することが推奨されます。