Enterprise-ohjelmistotalo SolarWinds on julkaissut tärkeän turvallisuuspäivityksen tunnusmerkistään Access Rights Managerille (ARM). Päivitys korjaa vakavan arkkitehtuurivian, joka johtuu statisesta, suoraan ohjelmakoodiin sisällytetystä salausavaimesta. Haavoittuvuus tunnetaan tunnuksella CVE-2026-28326 ja sillä on CVSS-pisteitä 8.8 (Korkea vaaraluokka).
Haavoittuvuuden juuret ovat vanhassa implementoinnissa prosessien välistä viestintää (IPC) ARM:n hallintaohjelmistoalustan ja takaosan palvelinsuunnittelun välillä. Tässä implementoinnissa käytettiin yhteistä, statista symmetristä salausavaimea, jolla merkittiin ja vahvistettiin sisään tulevat hallintopaketit. Hyökkääjä voisi helposti paljastaa tämän statisen avaimateriaalin suoraan dekompiloiessa sovelluksen kirjastoja. Avainmateriaalin haltuun saaneella hyökkääjällä olisi mahdollista luoda väärennettyjä, salattuja hallintokäskyjä, joita takaosa hyväksyy luotettavina.
SolarWinds Access Rights Managerilla on laajat, korkeatasoiset hallintaoikeudet Active Directoryn lisäksi myös paikallisten tiedostopalvelinten, SharePointin ja Exchange-ympäristöjen yli. Onnistuneella hyödyntämisellä hyökkääjä voisi yksinomaan muuttaa turvallisuusryhmien jäsenyyksiä, nostaa alitason tilit Domain Admin -tasoille tai poistaa todisteita ilman varoituksia.
Haavoittuvuus korjattiin SolarWinds ARM version 2026.2.1:ssä, joka julkaistiin 17. syyskuuta 2026. SolarWindsin turvallisuusohjeiden ja globaalien uhkatelemetrian mukaan ei ole todisteita aktiivisesta hyödyntämisestä tai todellisesta loukkauksesta. Kuitenkin, koska identiteettihallintapalvelut ovat ransomware-ryhmien ja espionage-aktiivien suosittuja kohteita, jotka pyrkivät saavuttamaan täyden hallinnan organisaation dominiin, organisaatiot tulisi priorisoida päivityksen heti.
Toimenpiteitä IT- ja turvallisuusteameille
- Asenna SolarWinds ARM 2026.2.1: Päivitä kaikki ARM-palvelininstanssit ja asiakasohjelmat versioon 2026.2.1 siirtyäkseen dynaamisesti neuvoteltuihin salausistuntoihin.
- Vahvista verkko-segmentointi: Rajoita sisään tulevan verkkoyhteyden pääsy ARM-palvelinohjelmistoihin, varmistamalla, että hallintoportit ovat saavutettavissa ainoastaan määritellyiltä Privileged Access Workstations (PAW) -työpöytäkoneilta.
- Tarkista Active Directoryn turvallisuuslogit: Katsotaan Windows Event Logs (ID 4728, 4732 ja 4756) epäilyttävistä muutoksista korkeatasoisissa Active Directoryn hallintaryhmissä.
- Arvioi palvelutilien delegointeja: Arvioi ARM:n käyttämät palvelutilit varmistamalla, että niiden oikeudet vastaavat tiukasti toiminnallista tarvetta, ja poista tarpeettomat laajat hallintaoikeudet.
Todisteiden tilanne
- Vahvistettu: SolarWinds Trust Center on virallisesti tunnustanut CVE-2026-28326:n ja julkaissut ARM 2026.2.1:n, joka sisältää pysyvän korjauksen.
- Ilmoitettu: Vulnerabiliteettitutkijat ja turvallisuusneuvonantajat ovat vahvistaneet CVSS 8.8:n vakavuuden ja haavoittuvuuden tekniset mekanismit.
- Ei vahvistettu: Ei ole julkisia esityksiä hyödyntämisestä tai todellisista hyökkäyksistä, jotka hyödyntäisivät tätä haavoittuvuutta.
Tiivistelmä
- SolarWinds korjasi Access Rights Manager -työkalussa statisena salattuna olevan symmetrisen salausavaimen haavoittuvuuden (CVE-2026-28326, CVSS-arvo 8.8).
- Haavoittuvuus mahdollisti hyökkääjille väärennysten luomisen hallintokäskyjä vastaan ja manipuloinnin Active Directoryn hallintaoikeuksia.
- Ei ole todisteita todellisesta hyödyntämisestä, mutta organisaatiot tulisi päivittää ARM 2026.2.1:een välittömästi.