SolarWinds ARM, chiave statica apre alla RCE senza autenticazione: patch urgente

🛡️ Executive Summary

• CVE-2026-58138 consente RCE senza autenticazione tramite workflow con espressioni JavaScript o Python elaborate da GraalVM con accesso host eccessivo.
• Fortinet conferma exploitation attiva: 1.290 tentativi bloccati in 24 ore e quasi 7.000 tra il 2 e il 9 settembre.
• La correzione completa è disponibile da Conductor 3.30.2; le installazioni esposte devono essere aggiornate e la workflow API isolata.

SolarWinds ha corretto una vulnerabilità particolarmente delicata in Access Rights Manager, piattaforma utilizzata per amministrare e verificare autorizzazioni su ambienti Active Directory e altre risorse enterprise. CVE-2026-28326 permette un’esecuzione remota di codice senza autenticazione e nasce dall’impiego di una chiave crittografica statica hard-coded. La falla interessa ARM 2026.2 e tutte le versioni precedenti ed è stata risolta con Access Rights Manager 2026.2.1, distribuito il 17 settembre. Il punteggio CVSS 8.8 non deve farla apparire meno urgente di vulnerabilità classificate 9.8 o 10: il prodotto opera infatti dentro uno dei domini più sensibili di una rete aziendale, quello delle identità e dei diritti di accesso.

CVE-2026-28326 trasforma una chiave statica in un percorso verso la RCE

Nelle release note ufficiali di Access Rights Manager 2026.2.1 SolarWinds descrive CVE-2026-28326 come una vulnerabilità di remote code execution senza autenticazione originata da una chiave statica incorporata nel software. Il record CVE associa il problema a CWE-321, Use of Hard-coded Cryptographic Key, e indica un vettore AV:A/AC:L/PR:N/UI:N, quindi nessun privilegio e nessuna interazione della vittima, ma accesso alla rete adiacente anziché sfruttamento genericamente remoto da Internet. La distinzione conta: non è corretto descrivere qualsiasi installazione ARM come direttamente attaccabile dal Web, ma un aggressore già presente su una rete raggiungibile dal servizio può sfruttare la debolezza senza disporre di credenziali.

Il problema delle credenziali e delle chiavi inserite direttamente nel codice non è nuovo per l’ecosistema SolarWinds. Nel 2024 una falla di Web Help Desk basata su credenziali hard-coded era già entrata nel perimetro delle vulnerabilità sfruttate, mostrando quanto rapidamente un segreto condiviso possa trasformarsi da scorciatoia progettuale a bypass della trust boundary. Il precedente SolarWinds e CISA sulle credenziali incorporate resta particolarmente pertinente perché il problema architetturale è simile: un elemento che dovrebbe attestare fiducia diventa replicabile dall’attaccante.

Leggi anche: SolarWinds WHD sfruttato per distribuire Velociraptor dopo una RCE senza autenticazione

ARM governa identità e autorizzazioni, quindi il contesto pesa più del solo CVSS

Access Rights Manager non è un servizio periferico qualsiasi. Il prodotto viene utilizzato per analizzare account, gruppi, autorizzazioni e risorse integrate con Active Directory, quindi la sua posizione infrastrutturale può renderlo molto più interessante di un’applicazione con lo stesso punteggio CVSS. La documentazione ufficiale sui requisiti di ARM raccomanda espressamente di installare il server su un sistema non pubblico e non direttamente esposto a Internet. Questa indicazione riduce il vettore esterno ma non elimina il rischio: nelle compromissioni enterprise l’accesso iniziale è spesso soltanto la prima fase e un servizio di gestione delle autorizzazioni può diventare un obiettivo di movimento laterale ad alto valore.

È lo stesso principio emerso con altre piattaforme amministrative. Le recenti campagne contro N-able N-central hanno mostrato come una RCE su un sistema di gestione possa diventare immediatamente interessante per gli attaccanti, proprio perché il valore del bersaglio non dipende soltanto dal singolo server ma dalle relazioni di fiducia costruite intorno ad esso. Su ARM diventa quindi necessario valutare account di servizio, raggiungibilità dei controller di dominio, privilegi del processo e credenziali disponibili sul server oltre alla semplice presenza della CVE.

SolarWinds corregge tutto nella versione ARM 2026.2.1

La remediation indicata da SolarWinds è netta: aggiornare ad Access Rights Manager 2026.2.1. La release del 17 settembre non introduce nuove funzionalità e viene presentata essenzialmente come aggiornamento correttivo, con CVE-2026-28326 al centro del pacchetto. La guida ufficiale di installazione e upgrade ribadisce inoltre due controlli importanti: evitare l’esposizione pubblica del server e attivare, quando possibile, l’IP whitelisting.

Non risultano al momento indicazioni pubbliche di exploitation in-the-wild della vulnerabilità. Questo elemento deve rimanere distinto dalla sua gravità tecnica: una RCE senza autenticazione non diventa automaticamente una vulnerabilità sfruttata. SolarWinds ha già affrontato nel 2026 situazioni molto differenti, comprese falle di Serv-U corrette prima che diventassero debito tecnico nelle installazioni esposte e vulnerabilità successivamente entrate nel circuito degli attacchi attivi. Per CVE-2026-28326, invece, l’elemento verificato oggi è la presenza della falla e la disponibilità della patch, non una campagna.

Continua con:

Vulnerabilità SolarWinds sfruttate attivamente e inserite nel catalogo CISA KEV

Serv-U 15.5.4 corregge quattro vulnerabilità critiche SolarWinds

Chi usa ARM deve verificare anche l’esposizione interna del server

L’aggiornamento alla 2026.2.1 resta il controllo prioritario, ma in questo caso il patching dovrebbe essere accompagnato da una verifica della topologia. Un server ARM raggiungibile indiscriminatamente da segmenti utente, reti VPN troppo permissive o sistemi già considerati a basso trust conserva una superficie di attacco superiore al necessario. La documentazione SolarWinds suggerisce già un modello più restrittivo: server non Internet-facing e accessi limitati.

Per gli amministratori il punto è quindi evitare una lettura superficiale del CVSS 8.8. CVE-2026-28326 non risulta oggi sfruttata pubblicamente e richiede raggiungibilità di rete compatibile con il vettore indicato dal vendor, ma combina assenza di autenticazione, esecuzione di codice e un prodotto collocato vicino alle identità enterprise. È precisamente il tipo di vulnerabilità per cui la finestra tra disclosure e patching non dovrebbe essere utilizzata per attendere prove di attacco, ma per ridurre in anticipo la superficie disponibile.