SolarWinds Observability Self-Hosted 2026.2.3 naprawia dwa unauthenticated RCE — CVE-2026-28324 i CVE-2026-28325 — ale ich exploitability zależy od konkretnych trybów konfiguracji/komunikacji: jeden wymaga non-default/non-secure config, drugi określonego communication mode. To idealny przypadek configuration-aware VM, w którym version match jest dopiero początkiem.
present + vulnerable version, lecz runtime facts — który tryb aktywny, które endpointy osiągalne, czy używana jest nie-domyślna konfiguracja związana z danym CVE.Version match to początek, nie koniec
CVSS 9.8 kusi, by potraktować każdy podatny build jako P0 — ale exploitability tych dwóch RCE zależy od trybu. Potrzebny jest runtime/config inventory: który communication mode działa, czy włączono nie-domyślną konfigurację. To pozwala uniknąć masowego false positive, nie rezygnując z patcha. Ta sama zasada co przy F5 BIG-IP i Red Hat Artemis.
Remediation i verification
Upgrade do 2026.2.3 zgodnie z release notes. Do czasu patcha ograniczenie reachability lub wyłączenie podatnego trybu może zmniejszyć ryzyko, jeśli jest zgodne z guidance vendora. Po aktualizacji sprawdź build, konfigurację, ekspozycję i wszystkie nody; zachowaj evidence, które CVE było realnie exploitable przed zmianą. Zasada: configuration context nie może opóźniać patcha na faktycznie narażonych assetach.
Powiązane na blogu
- F5 BIG-IP APM — attack path zależny od kombinacji funkcji
- Red Hat Artemis — konfiguracja jako affectedness
Źródło
- SolarWinds — Platform 2026.2.3 Release Notes — documentation.solarwinds.com
Nota redakcyjna: stan informacji 29 września 2026. CVE-2026-28324/28325 (SolarWinds Observability Self-Hosted, fix 2026.2.3) — dwa unauth RCE zależne od trybów konfiguracji/komunikacji. Artykuł nie potwierdza active exploitation.