SolarWinds издаде Observability Self-Hosted 2026.2.3, за да коригира две сериозни уязвимости, които биха могли да позволят на неудостоверени атакуващи да изпълняват отдалечено код върху засегнатите observability сървъри. Пропуските, проследявани като CVE-2026-28324 и CVE-2026-28325, засягат специфични конфигурации, които не са по подразбиране, и режими на комуникация.

Обновяването беше публикувано на 22 септември 2026 г. и е изключително важно за организации, работещи с SolarWinds Observability Self-Hosted в среди с Web Performance Monitor (WPM) плейъри.

Успешното експлоатиране би могло да позволи на отдалечен атакуващ да стартира произволни команди на уязвим сървър, без да е необходимо първоначално влизане в системата. CVE-2026-28324 е с оценка 9.8 от 10 по скалата за сериозност CVSS, което я прави критичен проблем.

От SolarWinds съобщиха, че уязвимостта произтича от недостатъчни проверки за цялост в инсталациите на Observability Self-Hosted, конфигурирани по начин, който не е по подразбиране и не е сигурен.

Пропуските в SolarWinds позволяват изпълнение на код

Официалното съобщение не предоставя обществено достъпни детайли за доказателство за концепция (proof-of-concept). Въпреки това високата оценка за сериозност показва, че защитниците трябва да третират изложените и специално конфигурирани сървъри като цели за инсталиране на корекции за сигурност с висок приоритет. Втората уязвимост, CVE-2026-28325, има CVSS оценка 8.8 и също се класифицира като проблем с неудостоверено отдалечено изпълнение на код.

Според SolarWinds тя произтича от десериализация на ненадеждни данни, когато приложението използва специфичен режим на комуникация. Несигурната десериализация се появява, когато софтуерът приема сериализирани данни, контролирани от киберпрестъпник, и ги обработва без подходяща валидация, което потенциално позволява стартирането на зловредни обекти или команди в контекста на приложението.

Кай Хуанг от Armadin е съобщил отговорно и за двете уязвимости. От SolarWinds заявяват, че проблемите са отстраненив версия 2026.2.3, която не добавя нови функционалности към продукта, но включва корекции за сигурност и подобрения в надеждността на платформата.

Версията също така променя поведението на определени внедрявания на WPM плейъри. След актуализацията пасивните WPM плейъри, инсталирани по подразбиране в основния polling engine, се превключват от комуникация, инициирана от сървъра, към комуникация, инициирана от плейъра.

На отдалечените пасивни WPM плейъри автоматично се присвояват произволно генерирани силни пароли по време на тяхното обновяване. Въпреки това от SolarWinds отбелязват, че плейърите с деактивирана опция Enable Upgrade не се обновяват автоматично и изискват вниманието на администратор. Активните WPM плейъри, инициирани от плейъра, не изискват парола след обновяването.

Администраторите трябва да обновят цялото си внедряване на SolarWinds през Settings > My Deployment, което актуализира продуктите от платформата SolarWinds и свързаните механизми за скалируемост.

Преди да приложат обновяването, екипите по сигурност трябва да идентифицират всички основни polling engines, отдалечени WPM плейъри и използвани режими на комуникация.

Те също така трябва да потвърдят, че пасивните отдалечени плейъри имат силни идентификационни данни и че системите, изключени от автоматични актуализации, се обновяват ръчно.

Организациите трябва да прегледат излагането на сървърите, да ограничат административния достъп до доверени мрежи, да наблюдават дневниците на приложението SolarWinds и Windows за неочаквано изпълнение на процеси и да разследват необичайна активност, свързана с polling engines или WPM плейъри.

По-старите внедрявания заслужават особено внимание: SolarWinds е прекратила инженерната поддръжка за Observability Self-Hosted 2024.2 и по-ранни версии, което означава, че те вече не получават редовни корекции или сервизни издания.