CVE-2026-28324: Kritisk RCE-fejl i SolarWinds Observability

CVE-2026-28324 er en sårbarhed i SolarWinds Observability Self-Hosted, et overvågningsværktøj som mange virksomheder bruger til at holde øje med servere og netværk. Fejlen skyldes utilstrækkelig kontrol af, om data der modtages af systemet, faktisk er ægte og ikke manipuleret (CWE-345). Det betyder, at en angriber kan sende falske data til systemet, som bliver behandlet som troværdige, og på den måde få systemet til at udføre vilkårlig kode. Sårbarheden rammer kun installationer, der er sat op i en ikke-standard og usikker konfiguration. Standardopsætningen er ikke berørt.

Alle virksomheder og kommuner, der kører SolarWinds Observability Self-Hosted i egen drift, og som har afveget fra standardkonfigurationen på en usikker måde, er potentielt ramt. Det gælder typisk it-afdelinger, der selv har justeret adgangskontrol, netværksadgang eller integrationer til systemet uden at følge leverandørens anbefalede sikkerhedsopsætning. NVD-data indeholder ikke specifikke versionsnumre, så alle der kører produktet, bør tjekke deres konfiguration.

Hvis en angriber udnytter sårbarheden, kan de fjernudføre vilkårlig kode på serveren, der kører overvågningsværktøjet, uden at have et gyldigt login. Da observability-systemer ofte har vidtgående adgang til andre servere og netværksudstyr for at kunne overvåge dem, kan en kompromittering sprede sig videre i infrastrukturen. I praksis kan det betyde tab af data, installation af skadelig software eller at angriberen får et fodfæste til at bevæge sig videre til andre systemer i virksomheden.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), ingen brugerhandling (UI:N), og kan udføres over netværket med lav kompleksitet (AC:L). Det gør sårbarheden nem at udnytte, hvis systemet er sat op i den sårbare konfiguration. Der er ikke oplyst om aktiv udnyttelse i det fri på offentliggørelsestidspunktet, men den lave angrebskompleksitet betyder, at det kan ændre sig hurtigt, når detaljer om sårbarheden bliver kendt.

Følg punkterne i rækkefølge for at lukke hullet hurtigst muligt.

1. Gennemgå konfigurationen af jeres SolarWinds Observability Self-Hosted-installation og sammenlign med leverandørens anbefalede sikre opsætning. Ret afvigelser, der matcher den usikre konfiguration beskrevet af leverandøren.
2. Kontakt SolarWinds eller tjek deres sikkerhedsvejledning for eventuel opdatering eller konfigurationsguide til denne CVE.
3. Begræns netværksadgangen til overvågningsserveren, så den kun kan tilgås fra betroede interne netværk, ikke fra internettet.
4. Gennemgå logfiler for uventet trafik eller adfærd på serveren i perioden op til og efter opdagelsen.
5. Sørg for at overvågningssystemet ikke har unødvendigt bred adgang til andre kritiske systemer.
6. Hvis I ikke har ressourcer til selv at gennemgå konfigurationen, så få en ekstern sikkerhedsrådgiver til at verificere opsætningen inden for få dage.