SolarWinds пусна актуализации за сигурност за отстраняване на сериозна уязвимост в Access Rights Manager (ARM), чието успешно експлоатиране би могло да доведе до отдалечено изпълнение на код без необходимост от автентикация.
Уязвимостта, проследявана като CVE-2026-28326, има оценка 8.8 от 10.0 по системата CVSS. Засегнати са всички версии на Access Rights Manager 2026.2 и по-ранни.
„Съобщено бе, че SolarWinds Access Rights Manager е засегнат от уязвимост за отдалечено изпълнение на код без автентикация“, посочва SolarWinds в бюлетин за сигурност, публикуван на 17 септември 2026 г. „Проблемът произтича от твърдо кодиран (hard-coded) статичен ключ.“
Компанията изразява признателност на изследователя по сигурността Кай Хуанг от Armadin за откриването и докладването на уязвимостта, която е коригирана в ARM 2026.2.1. SolarWinds не съобщава за данни тази уязвимост да е била експлоатирана за реални атаки.
Това събитие идва близо два месеца след като компанията пусна корекции за критична уязвимост в Web Help Desk (WHD) (CVE-2026-28323, CVSS оценка: 9.8), която би могла да доведе до заобикаляне на SAML автентикацията при активиран метод за автентикация SAML 2.0.
Друга уязвимост е свързана с отказ на услуга (DoS) (CVE-2026-28299, CVSS оценка: 8.2), която може да предизвика срив на сървъра на Web Help Desk поради недостиг на памет. И двата проблема са отстранени във WHD 2026.2.1.
SolarWinds същевременно пусна корекции за сигурност за 16 уязвимости в Serv-U (CVE-2026-28302, от CVE-2026-28304 до CVE-2026-28317, CVE-2026-28321, CVE-2026-28323), които биха могли да доведат до ескалация на привилегии, отдалечено изпълнение на код и създаване на администраторски профили.