文章总结： SolarWinds发布ObservabilitySelf-Hosted2026.2.3版本，修复CVE-2026-28324与CVE-2026-28325两个严重漏洞，均为未经身份验证的远程代码执行漏洞，CVSS评分分别高达9.8和8.8。漏洞源于非默认配置下完整性检查不足及不安全反序列化。建议管理员优先升级至2026.2.3版本，审查服务器暴露面，限制管理访问，监控异常活动，并注意旧版本已停止支持。 综合评分： 80 文章分类： 漏洞预警,漏洞分析,应急响应,安全建设

SolarWinds 的严重漏洞使攻击者能够远程在服务器上执行代码

Rhinoer Rhinoer

犀牛安全

2026年10月1日 00:00 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SolarWinds 发布了 Observability Self-Hosted 2026.2.3 版本，修复了两个严重漏洞，这些漏洞可能允许未经身份验证的攻击者在受影响的可观测性服务器上远程执行代码。这两个漏洞的编号分别为 CVE-2026-28324 和 CVE-2026-28325，会影响特定的非默认配置和通信模式。

该更新于 2026 年 9 月 22 日发布，对于在具有 Web Performance Monitor (WPM) 播放器的环境中运行 SolarWinds Observability Self-Hosted 的组织来说尤其重要。

成功利用此漏洞可能允许远程攻击者在无需登录的情况下，对存在漏洞的服务器执行任意命令。CVE-2026-28324 在 CVSS 严重性评分中被评为 9.8 分（满分 10 分），属于严重漏洞。

SolarWinds 表示，该漏洞源于以非默认、非安全方式配置的 Observability 自托管安装中完整性检查不足。

SolarWinds 执行代码存在漏洞

该安全公告并未提供公开的概念验证细节。然而，其高严重性评分表明，防御者应将暴露的服务器和经过特殊配置的服务器视为高优先级补丁目标。第二个漏洞 CVE-2026-28325 的 CVSS 评分为 8.8，也被归类为未经身份验证的远程代码执行漏洞。

据 SolarWinds 称，这种风险源于应用程序在使用特定通信模式时对不受信任的数据进行反序列化。当软件接受攻击者控制的序列化数据并在未进行适当验证的情况下对其进行处理时，就会发生不安全的反序列化，这可能导致恶意对象或命令在应用程序上下文中运行。

Armadin公司的Kai Huang负责任地报告了这两个漏洞。SolarWinds表示，这些问题已在2026.2.3版本中得到解决，该版本没有新增任何产品功能，但包含安全修复和平台可靠性改进。

此次更新还改变了某些WPM播放器部署的行为。升级后，默认安装在主轮询引擎上的被动式WPM播放器将从服务器发起通信切换到播放器发起通信。

远程被动式WPM播放器在升级过程中会自动分配随机生成的强密码。但是，SolarWinds指出，如果禁用了“启用升级”选项，则播放器不会自动升级，需要管理员手动操作。主动式、由播放器启动的WPM播放器在升级后无需密码。

管理员应通过“设置”>“我的部署”升级整个 SolarWinds 部署，这将更新 SolarWinds 平台产品和相关的可扩展引擎。

在应用更新之前，安全团队应确定所有主要轮询引擎、远程 WPM 播放器和正在使用的通信模式。

他们还应该核实被动远程播放器是否具有强大的身份验证功能，以及是否手动更新未自动升级的系统。

组织应审查服务器暴露情况，将管理访问权限限制在受信任的网络，监控 SolarWinds 应用程序和 Windows 日志中是否存在意外的进程执行，并调查涉及轮询引擎或 WPM 播放器的异常活动。

较旧的部署需要特别注意：SolarWinds 已停止对 Observability Self-Hosted 2024.2 及更早版本的工程支持，这意味着它们不再收到定期修复或服务版本。

信息来源：CyberSecurityNews

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：犀牛安全 Rhinoer Rhinoer《SolarWinds 的严重漏洞使攻击者能够远程在服务器上执行代码》