SolarWinds устранила в Access Rights Manager уязвимость с удалённым выполнением кода
Ошибка CVE-2026-28326 связана с жёстко заданным статическим ключом и позволяет выполнить код удалённо без аутентификации. Исправление вошло в версию Access Rights Manager 2026.2.1.
SolarWinds выпустила обновление для Access Rights Manager (ARM), устраняющее уязвимость высокой опасности CVE-2026-28326. При успешной эксплуатации она позволяет удалённо выполнить код без предварительной аутентификации.
Причиной проблемы стал жёстко заданный статический ключ. Уязвимости присвоен рейтинг 8,8 балла из 10 по шкале CVSS; затронуты все версии ARM 2026.2 и более ранние. Исправление доступно в версии ARM 2026.2.1.
О проблеме компании сообщил исследователь безопасности Armadin Кай Хуан. В опубликованном сообщении SolarWinds не указала, использовалась ли CVE-2026-28326 в реальных атаках.
Ранее, почти двумя месяцами ранее, SolarWinds выпустила обновления для Web Help Desk. Среди устранённых проблем были критическая уязвимость CVE-2026-28323 с рейтингом CVSS 9,8, позволявшая обойти SAML-аутентификацию при включённом методе SAML 2.0, а также CVE-2026-28299 с рейтингом 8,2: из-за недостатка памяти она могла привести к отказу в обслуживании и сбою сервера Web Help Desk. Обе ошибки исправлены в Web Help Desk 2026.2.1.