2026-10-16 05:43:58 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

SolarWinds 的严重漏洞使攻击者能够远程在服务器上执行代码

Rhinoer
Rhinoer

犀牛安全

2026年10月1日 00:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SolarWinds 发布了 Observability Self-Hosted 2026.2.3 版本，修复了两个严重漏洞，这些漏洞可能允许未经身份验证的攻击者在受影响的可观测性服务器上远程执行代码。这两个漏洞的编号分别为 CVE-2026-28324 和 CVE-2026-28325，会影响特定的非默认配置和通信模式。

该更新于 2026 年 9 月 22 日发布，对于在具有 Web Performance Monitor (WPM) 播放器的环境中运行 SolarWinds Observability Self-Hosted 的组织来说尤其重要。

成功利用此漏洞可能允许远程攻击者在无需登录的情况下，对存在漏洞的服务器执行任意命令。CVE-2026-28324 在 CVSS 严重性评分中被评为 9.8 分（满分 10 分），属于严重漏洞。

SolarWinds 表示，该漏洞源于以非默认、非安全方式配置的 Observability 自托管安装中完整性检查不足。

SolarWinds 执行代码存在漏洞

该安全公告并未提供公开的概念验证细节。然而，其高严重性评分表明，防御者应将暴露的服务器和经过特殊配置的服务器视为高优先级补丁目标。第二个漏洞 CVE-2026-28325 的 CVSS 评分为 8.8，也被归类为未经身份验证的远程代码执行漏洞。

据 SolarWinds 称，这种风险源于应用程序在使用特定通信模式时对不受信任的数据进行反序列化。当软件接受攻击者控制的序列化数据并在未进行适当验证的情况下对其进行处理时，就会发生不安全的反序列化，这可能导致恶意对象或命令在应用程序上下文中运行。

Armadin公司的Kai Huang负责任地报告了这两个漏洞。SolarWinds表示，这些问题已在2026.2.3版本中得到解决，该版本没有新增任何产品功能，但包含安全修复和平台可靠性改进。

此次更新还改变了某些WPM播放器部署的行为。升级后，默认安装在主轮询引擎上的被动式WPM播放器将从服务器发起通信切换到播放器发起通信。

远程被动式WPM播放器在升级过程中会自动分配随机生成的强密码。但是，SolarWinds指出，如果禁用了“启用升级”选项，则播放器不会自动升级，需要管理员手动操作。主动式、由播放器启动的WPM播放器在升级后无需密码。

管理员应通过“设置”>“我的部署”升级整个 SolarWinds 部署，这将更新 SolarWinds 平台产品和相关的可扩展引擎。

在应用更新之前，安全团队应确定所有主要轮询引擎、远程 WPM 播放器和正在使用的通信模式。

他们还应该核实被动远程播放器是否具有强大的身份验证功能，以及是否手动更新未自动升级的系统。