SolarWinds 修复 Dameware 严重命令注入漏洞，CVSS 评分 9.9

SolarWinds 披露其 Dameware 远程控制软件存在一个严重命令注入漏洞，编号 CVE-2026-28336，CVSS 评分 9.9，影响 Dameware 2026.3 及所有更早版本。攻击者通过认证后可能借此远程控制受管主机。

厂商已于 11 月 3 日发布安全公告，并推出 2026.3.1 版本修复该问题，建议使用受影响版本的组织优先升级。

漏洞基本情况

公告由厂商于 11 月 3 日发布，并注明漏洞由波音企业安全红队的 Greg Bernatowicz 发现。

受影响的产品是 Dameware 远程控制软件，覆盖 2026.3 版本以及此前发布的所有版本。这意味着尚未升级的既有部署都可能处于受影响范围内，组织需要先盘点自身使用的版本。

公告说明，漏洞一旦被成功利用，可能导致受管主机被远程控制。对于以远程支持为主要用途的 Dameware 而言，这一后果直接指向被管理终端的操作权限。

该漏洞的 CVSS 评分为 9.9。SolarWinds 公布的向量为 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H，对应网络可达、攻击复杂度低、所需权限低、无需用户交互。

向量中的范围变更（S:C）表明，利用行为可能影响到存在漏洞的安全权威之外的资源；机密性、完整性和可用性三项影响均被评为高。

认证要求是这一漏洞的重要边界。公告明确要求攻击者先通过认证，因此它并非已披露的认证绕过问题。但所需权限被标为低，防守方不宜假定只有高权限账户才具备利用条件。

SolarWinds 未公开存在漏洞的具体参数、命令执行机制、利用载荷，以及评分信息之外的确切权限要求。公告也没有说明该漏洞已在野被利用，或提供入侵指标，因此不宜将实际利用视为已确认的事实。

厂商已发布 2026.3.1 版本用于修复该问题，使用受影响版本的组织应优先完成升级。这一版本是本次公告指定的修补版本，与其他产品的补丁不能互相替代。

在打补丁之外，安全团队可采取若干补充措施：将远程管理访问限制在可信网络内，审查账户权限，并排查与远程支持活动相关的异常命令或进程。这些措施是对厂商修复的补充，而非替代。

公告同时提醒，涉及 SolarWinds Serv-U 和 Web Help Desk 的其他披露属于不同产品和不同漏洞类别，其补丁无法修复 Dameware，各产品的版本需要独立跟踪。

此次披露之前，Dameware 还曾出现过一个权限提升问题，编号 CVE-2025-26396，涉及 Mini Remote Control Service 中的权限设置不当。该问题需要本地访问条件，已在 Dameware 12.3.2 中处理。

两个漏洞的利用前提并不相同：旧问题依赖本地访问，新披露的 CVE-2026-28336 则是可经网络触发的命令注入，且要求认证。管理员在核对修复状态时，应将历史上的修复与新漏洞所需的 2026.3.1 版本区分开来。