Компания SolarWinds выпустила обновления безопасности для устранения уязвимости высокой степени опасности в Access Rights Manager (ARM), которая в случае успешной эксплуатации может привести к удалённому выполнению кода без аутентификации.
Уязвимость, обозначенная кодом CVE-2026-28326, получила оценку 8,8 из 10,0 по шкале CVSS. Проблема затрагивает все версии Access Rights Manager 2026.2 и более ранние.
«Сообщалось, что в SolarWinds Access Rights Manager обнаружена уязвимость, позволяющая удаленно выполнить код без аутентификации», — сообщила компания SolarWinds в рекомендации, опубликованной 17 сентября 2026 года. «Проблема связана с жестко запрограммированным статическим ключом».
Компания выразила благодарность исследователю по безопасности из Armadin Каю Хуангу за обнаружение и сообщение об этой уязвимости, которая была исправлена в версии ARM 2026.2.1. SolarWinds не упоминает о том, что данная уязвимость эксплуатировалась в реальных условиях.
Это событие произошло спустя почти два месяца после того, как компания выпустила исправления для критической уязвимости, затрагивающей Web Help Desk (WHD) (CVE-2026-28323, оценка CVSS: 9,8), которая могла привести к обходу аутентификации SAML при включенном методе аутентификации SAML 2.0.
Еще одна уязвимость связана с возможностью отказа в обслуживании (DoS) (CVE-2026-28299, оценка CVSS: 8,2), которая может привести к сбою сервера Web Help Desk из-за недостатка памяти. Обе проблемы были устранены в версии WHD 2026.2.1.
Компания SolarWinds также выпустила исправления для 16 уязвимостей, затрагивающих Serv-U (CVE-2026-28302, от CVE-2026-28304 до CVE-2026-28317, CVE-2026-28321, CVE-2026-28323), которые могли привести к повышению привилегий, удалённому выполнению кода и созданию учётных записей администратора.