SolarWinds ha lanzado la versión Observability Self-Hosted 2026.2.3 para corregir dos vulnerabilidades graves (CVE-2026-28324 y CVE-2026-28325). Estos fallos podrían permitir que atacantes no autenticados ejecuten código de forma remota en los servidores de observabilidad afectados, específicamente en configuraciones no predeterminadas. La actualización, disponible desde el 22 de septiembre de 2026, es fundamental para las organizaciones que utilizan este software.

SolarWinds lanzó Observability Self-Hosted 2026.2.3 para solucionar dos vulnerabilidades graves que podrían permitir a atacantes no autenticados ejecutar código de forma remota en servidores de observabilidad afectados. Los fallos, rastreados como CVE-2026-28324 y CVE-2026-28325, afectan a configuraciones y modos de comunicación específicos que no son los predeterminados.

La actualización se publicó el 22 de septiembre de 2026 y es especialmente importante para las organizaciones que ejecutan SolarWinds Observability Self-Hosted en entornos con reproductores de Web Performance Monitor, o WPM.

Una explotación exitosa podría permitir que un atacante remoto ejecute comandos arbitrarios en un servidor vulnerable sin necesidad de iniciar sesión primero. El CVE-2026-28324 tiene una calificación de 9.8 sobre 10 en la escala de severidad CVSS, lo que lo convierte en un problema crítico.

SolarWinds señaló que la vulnerabilidad se deriva de comprobaciones de integridad insuficientes en las instalaciones de Observability Self-Hosted configuradas de manera no predeterminada y no segura.

Fallos de SolarWinds ejecutan código

El aviso no proporciona detalles públicos de una prueba de concepto. Sin embargo, la alta puntuación de severidad indica que debes tratar los servidores expuestos y configurados especialmente como objetivos prioritarios para el parcheo. El segundo fallo, CVE-2026-28325, tiene una puntuación CVSS de 8.8 y también está clasificado como un problema de ejecución remota de código no autenticado.

Según SolarWinds, este proviene de la deserialización de datos no confiables cuando la aplicación utiliza un modo de comunicación específico. La deserialización insegura ocurre cuando el software acepta datos serializados controlados por el atacante y los procesa sin la validación adecuada, permitiendo potencialmente que objetos o comandos maliciosos se ejecuten en el contexto de la aplicación.

Kai Huang, de Armadin, informó responsablemente de ambas vulnerabilidades. SolarWinds afirmó que los problemas están resueltos en la versión 2026.2.3, la cual no añade nuevas funciones al producto pero incluye correcciones de seguridad y mejoras en la fiabilidad de la plataforma.

El lanzamiento también cambia el comportamiento de ciertas implementaciones de reproductores WPM. Tras la actualización, los reproductores WPM pasivos instalados por defecto en el motor de sondeo principal cambian de una comunicación iniciada por el servidor a una iniciada por el reproductor.

A los reproductores WPM pasivos remotos se les asignan automáticamente contraseñas fuertes generadas aleatoriamente durante su actualización. Sin embargo, SolarWinds advirtió que los reproductores con la opción "Enable Upgrade" desactivada no se actualizan automáticamente y requieren la atención del administrador. Los reproductores WPM activos, iniciados por el reproductor, no requieren contraseña después de la actualización.

Debes actualizar toda tu implementación de SolarWinds a través de Settings > My Deployment, lo cual actualiza los productos de SolarWinds Platform y los motores de escalabilidad relacionados.

Antes de aplicar la actualización, tu equipo de seguridad debe identificar todos los motores de sondeo principales, los reproductores WPM remotos y los modos de comunicación en uso.

También deben verificar que los reproductores remotos pasivos tengan credenciales fuertes y que los sistemas excluidos de las actualizaciones automáticas se actualicen manualmente.

Tu organización debe revisar la exposición del servidor, restringir el acceso de gestión a redes confiables, monitorear los registros de Windows y de la aplicación SolarWinds en busca de ejecuciones de procesos inesperadas, e investigar cualquier actividad anormal que involucre a los motores de sondeo o reproductores WPM.

Las implementaciones más antiguas merecen especial atención: SolarWinds ha finalizado el soporte de ingeniería para Observability Self-Hosted 2024.2 y versiones anteriores, lo que significa que ya no reciben correcciones regulares ni versiones de servicio.