SolarWinds закрыла уязвимость с зашитым ключом в Access Rights Manager

Компания SolarWinds выпустила обновления безопасности, устранив в продукте Access Rights Manager (ARM) уязвимость высокой степени опасности. При успешной эксплуатации она позволяла злоумышленнику удалённо выполнить произвольный код без прохождения аутентификации.

Брешь получила идентификатор CVE-2026-28326 и оценку 8,8 из 10 по шкале CVSS. Согласно бюллетеню, опубликованному 17 сентября 2026 года, проблема затрагивает все версии Access Rights Manager 2026.2 и более ранние. Корень уязвимости — жёстко прописанный статический ключ (hard-coded static key). Исправление вошло в состав версии ARM 2026.2.1.

Обнаружение и передачу сведений об уязвимости SolarWinds приписала исследователю безопасности Каю Хуангу из компании Armadin. Признаков эксплуатации бреши в реальных атаках компания не отметила.

Не единичный случай

Это уже не первая заметная правка в продуктах SolarWinds за последние месяцы. Почти двумя месяцами ранее компания устранила критическую уязвимость в Web Help Desk (WHD) — CVE-2026-28323 с оценкой 9,8 балла, позволявшую обходить аутентификацию SAML при включённом методе SAML 2.0. Там же закрыли и уязвимость к отказу в обслуживании (CVE-2026-28299, 8,2 балла): из-за нехватки памяти сервер Web Help Desk мог аварийно завершать работу. Обе проблемы решены в WHD 2026.2.1.

Помимо этого, SolarWinds выпустила исправления сразу для 16 уязвимостей в продукте Serv-U. В совокупности они могли приводить к повышению привилегий, удалённому выполнению кода и созданию учётных записей администратора.

Зашитые в код ключи и пароли остаются одной из самых устойчивых ошибок в корпоративном ПО: единый секрет, одинаковый для всех установок, превращается в универсальную отмычку, стоит ему однажды попасть в чужие руки. Пользователям Access Rights Manager стоит установить обновление до версии 2026.2.1 без промедления.

Источник: The Hacker News