Dell ThinOS 10に重大な脆弱性7件、認証なしで命令実行されるおそれ — CVE-2026-81467はCVSS 9.8、2605_10.2616以降へ更新を

要点

• Dellは2026年9月9日、シンクライアント端末向けOS「Dell ThinOS 10」のセキュリティ更新（アドバイザリ番号DSA-2026-389）を公開し、7件の脆弱性を修正した。
• 7件のうち4件は米NVDの評価で深刻度が最も高い「クリティカル」で、最大はCVE-2026-81467のCVSS基本値9.8だ。認証を受けていない攻撃者がネットワーク経由でOSコマンドを実行できるおそれがある。
• 影響を受けるのは2605_10.2616より前のDell ThinOS 10で、Dellは修正版の2605_10.2616以降への更新を案内している。NVDへの登録は2026年9月10日だ。

認証なしで狙われる4件のクリティカルな欠陥

今回修正された7件の内訳は、クリティカル4件、ミディアム3件だ。特に注意が必要なのは、認証なしで遠隔から悪用されうる3件である。

CVE-2026-81467（CVSS 9.8）は、OSコマンドに使う特殊な文字の無害化が不十分な欠陥（OSコマンドインジェクション）で、認証なしの遠隔攻撃でコマンド実行につながるおそれがある。CVE-2026-81048（CVSS 9.6）は隣接ネットワークからのコマンドインジェクションで、遠隔でのコード実行につながるおそれがある。CVE-2026-81046（CVSS 9.4）は保護機構の不備で、認証なしの遠隔攻撃でアプリケーションの権限で任意のコードを実行されるおそれがある。

残るCVE-2026-81468（CVSS 9.1）は高い権限を持つ攻撃者が遠隔からOSコマンドを実行できる欠陥だ。ミディアムの3件（CVE-2026-81052、CVE-2026-81051、CVE-2026-81049）はいずれも物理アクセスやローカルアクセスが前提で、深刻度は6.8以下と評価されている。

影響範囲とDellの案内

影響を受けるのは、バージョン2605_10.2616より前のDell ThinOS 10だ。ThinOSは仮想デスクトップ（VDI）に接続するシンクライアント端末で動作する軽量OSで、コールセンターや共有端末など多くの端末を一元管理する環境で使われている。管理対象の端末に古い版が残っていると、組織内の複数の端末が同じ欠陥を抱えることになる。

Dellはアドバイザリで、すべての対象機器を2605_10.2616以降へ更新するよう案内している。自組織でThinOS端末を運用している場合は、管理コンソールで稼働版を確認し、修正版への更新を計画する必要がある。

出典

• Dell セキュリティアドバイザリ DSA-2026-389（Dell ThinOS 10の複数の脆弱性に対する更新）: https://www.dell.com/support/kbdoc/en-us/000502746/dsa-2026-389-security-update-for-dell-thinos-10-for-multiple-vulnerabilities
• 米NVD CVE-2026-81467: https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-81467
• 米NVD CVE-2026-81048: https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-81048
• 米NVD CVE-2026-81046: https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-81046
• 米NVD CVE-2026-81468: https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-81468