Dameware 2026.3.1 修補需認證的命令注入及其他漏洞
情報摘要
SolarWinds 於 11 月 3 日發布 Dameware 2026.3.1，修補 CVE-2026-28336 命令注入漏洞，以及緩衝區溢位、安裝期間 DLL 劫持和第三方 Brotli 漏洞。命令注入影響 2026.3 及更早版本，需要認證，可能危害被遠端控制的主機；廠商 CNA 評為 CVSS v3.1 9.9。
CVE-2026-28336 是命令注入漏洞，可能危害被遠端控制的主機，官方明確要求認證。CNA 的低權限評分不能改寫成未經認證的遠端攻擊。
同版修補的 CVE-2026-28335 是可導致遠端程式碼執行的緩衝區溢位，同樣需要認證；SolarWinds CNA 給予 CVSS v3.1 8.4（High）。
CVE-2026-28327 是 DLL 劫持；官方描述限定在安裝期間，並要求本機存取及系統管理員權限。CNA 給予 CVSS v3.1 8.2（High），但向量的權限欄標示低權限，與文字描述存在不一致；本文保留較具體的官方前提，不自行降低權限要求。
發行說明亦把 Google Brotli CVE-2026-111497 列為已處理的第三方漏洞。這是既有 Brotli 報道的 Dameware 產品修補補充，不另建重複漏洞記錄，也不能把其他產品的利用證據當作 Dameware 已遭攻擊的證據。
SolarWinds 發行說明及安全公告均標示 2026 年 11 月 3 日；CVE-2026-28336 的 CNA 記錄於當日 16:23 UTC 發布，即香港時間 11 月 4 日 00:23。本文香港編輯發布日期與原始來源日期分開記錄。
受影響產品
SolarWinds Dameware 2026.3 及更早版本；CVE-2026-28336、CVE-2026-28335 及 CVE-2026-28327 的官方修補版本均為 2026.3.1。
適用讀者
使用 Dameware 遠端支援及遠端控制產品的 IT 管理員、服務台和資安團隊
建議行動
按 SolarWinds 建議，盡快在可行的維護時段升級至 Dameware 2026.3.1。先依官方安裝／升級說明備份適用的登錄設定及已儲存主機資料，尤其從較舊版本跨版升級時；完成後核對實際部署版本。編輯建議：同時檢查遠端管理帳號及網絡存取範圍，這不能取代修補。
風險評級依據
以 SolarWinds CNA 對 CVE-2026-28336 的 CVSS v3.1 9.9（Critical）作本篇分級；其向量標示網絡途徑、低權限及毋須使用者互動。這是個別漏洞評分，不代表其他修補項目有相同前提或嚴重程度。
解讀限制
SolarWinds 安全公告網頁的向量標籤寫作 CVSS:3.0，CNA 原始記錄則明確使用 CVSS v3.1，兩者均列 9.9。本文的版本歸屬以 CNA 記錄為準，沒有隱去來源差異。
已核對來源不足以確認這三項 Dameware 自家漏洞是否正遭野外利用；沒有公告攻擊不等於證明沒有攻擊。Brotli 的跨產品利用狀況須與 Dameware 的實際攻擊證據區分。
未核實香港特定機構、用戶或主機受影響。官方未在本次公告交代受害數量或損失。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。