SolarWinds vá lỗi RCE không cần xác thực trong Access Rights Manager
"SolarWinds released a security update for Access Rights Manager (ARM) to fix CVE-2026-28326, a high-severity unauthenticated remote code execution flaw with a CVSS score of 8.8. The issue affected ARM 2026.2 and earlier and was caused by a hard-coded static key; it was patched in ARM 2026.2.1, with no indication of in-the-wild exploitation."
Rủi ro thực thi mã từ xa không cần xác thực có thể dẫn đến chiếm quyền điều khiển hệ thống nếu bị khai thác. Mức CVSS 8.8 cho thấy tác động cao và cần vá sớm.
Ảnh hưởng chủ yếu đến hệ thống quản trị quyền truy cập và vận hành an ninh nội bộ. Nếu chậm cập nhật, tổ chức có thể đối mặt với gián đoạn dịch vụ và tăng rủi ro lộ lọt cấu hình/quyền truy cập.
SolarWinds đã phát hành bản cập nhật bảo mật cho Access Rights Manager (ARM) để khắc phục CVE-2026-28326, một lỗ hổng thực thi mã từ xa không cần xác thực có mức độ nghiêm trọng cao với CVSS 8.8.
Theo khuyến cáo của hãng, lỗi này ảnh hưởng đến ARM 2026.2 và các phiên bản trước đó. Nguyên nhân được xác định là do hard-coded static key trong thành phần liên quan, làm tăng nguy cơ kẻ tấn công khai thác từ xa nếu hệ thống chưa được vá. Bản sửa lỗi đã được đưa vào ARM 2026.2.1.
SolarWinds cho biết chưa có dấu hiệu cho thấy lỗ hổng này bị khai thác ngoài thực tế. Lỗ hổng được nhà nghiên cứu Kai Huang thuộc Armadin phát hiện và báo cáo.
Với các tổ chức đang triển khai Access Rights Manager, cần ưu tiên nâng cấp lên ARM 2026.2.1 hoặc phiên bản mới hơn, đồng thời rà soát các máy chủ quản trị có thể truy cập từ mạng nội bộ hoặc Internet. Nên kiểm tra nhật ký hệ thống, giới hạn bề mặt tấn công, và áp dụng quy trình vá lỗi nhanh cho các sản phẩm quản trị danh tính và quyền truy cập.