SolarWinds corrige dos fallas de ejecución remota sin autenticación en Observability Self-Hosted

SolarWinds publicó Observability Self-Hosted 2026.2.3 para corregir dos vulnerabilidades explotables remotamente sin autenticación. CVE-2026-28324, con CVSS 9,8, deriva de controles de integridad insuficientes en instalaciones que emplean una configuración no predeterminada e insegura.

CVE-2026-28325, con CVSS 8,8, es una deserialización de datos no confiables que afecta despliegues configurados con un modo específico de comunicación. Ambas fallas fueron reportadas por Kai Huang, de Armadin.

Las versiones hasta 2026.2.2 están afectadas cuando cumplen las condiciones de configuración descritas. Una explotación exitosa permitiría ejecutar código con el contexto del servicio de monitorización, un punto de control con visibilidad extensa sobre servidores, aplicaciones y dispositivos de red.

El riesgo real depende del modo de comunicación y de la exposición de componentes como los reproductores de Web Performance Monitor. SolarWinds no ha comunicado explotación activa ni existe, hasta la publicación de esta nota, una prueba pública confirmada.

La versión 2026.2.3 incorpora las correcciones y modifica la comunicación de determinados reproductores WPM pasivos. Los instalados por defecto en el motor de sondeo principal pasan a comunicación iniciada por el reproductor; los reproductores pasivos remotos actualizados reciben contraseñas fuertes generadas aleatoriamente.

Los reproductores remotos con la opción de actualización deshabilitada requieren intervención manual, por lo que comprobar solo la versión del servidor principal no basta para cerrar la exposición.

La ausencia de autenticación y la criticidad de la plataforma justifican una actualización prioritaria, aunque la configuración vulnerable no sea la predeterminada.