SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复两处未认证远程代码执行漏洞：CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）。两者均可允许网络侧攻击者在未登录状态下在托管服务器上执行任意代码。可观测性平台通常保存全环境拓扑、设备凭据与作业配置，一旦失陷，攻击者可直接以它为跳板横向移动。
事件概述
受影响版本为 Observability Self-Hosted 2026.2.2 及更早，修复版本 2026.2.3。两处漏洞由 Armadin 的 Kai Huang 报告——这也是同一研究者连续披露的第三处 SolarWinds 未认证 RCE，此前一周的 CVE-2026-28326（CVSS 8.8）影响 Access Rights Manager，成因是硬编码静态密钥。官方通告未提及任何在野利用证据。
2026.2.3 不引入新功能，仅包含安全修复与可靠性改进。
技术细节
CVE-2026-28324 归类为 CWE-345 数据真实性校验不足。在非默认、非安全配置的部署中，平台未充分校验网络侧传入数据的完整性，攻击者发送畸形请求即可让系统在未验证的前提下处理该数据，最终执行攻击者控制的代码。默认安全配置不受此漏洞影响，但非默认配置在真实环境中并不罕见——开启附加组件或调整通信参数都可能落入受影响区间。
CVE-2026-28325 属 CWE-502 不可信数据反序列化，仅在应用启用特定通信模式时触发。系统直接反序列化未经净化的对象，构造的载荷可在应用上下文内执行。
影响评估
CVE-2026-28324 的攻击向量为 AV:N/AC:L/PR:N/UI:N，即网络可达、复杂度低、无需认证与用户交互，CISA 的 SSVC 评估标注为可自动化、技术影响为完全。CVE-2026-28325 向量为 AV:A，需要相邻网络位置，利用门槛略高。EPSS 分值分别为 0.49% 与 0.73%，处于低位，但均处在漏洞披露初期，评分参考意义有限。
修复建议
# 查看当前部署版本
Settings > My Deployment
# 命令行确认（Windows）
Get-ItemProperty "HKLM:\SOFTWARE\SolarWinds\Orion\Core" | Select Version升级到 2026.2.3 是唯一根治手段。升级会同时更新 SolarWinds 平台产品与关联扩展引擎。WPM 组件行为有变更，需重点核对：默认安装在主轮询引擎上的被动 WPM 玩家将从服务器发起改为玩家发起通信；远程被动 WPM 玩家在升级过程中自动获得随机生成的强密码；关闭 Enable Upgrade 选项的玩家不会自动更新，必须手动升级，且升级前应确认其凭据强度。使用玩家发起通信模式的主动 WPM 玩家升级后无需密码。
无法立即升级时的临时缓解：将监控服务器限制在受信网段、清点主轮询引擎与远程 WPM 玩家及当前通信模式、监控应用与 Windows 事件日志中的异常进程创建和出站连接。需要注意，2024.2 及更早版本已停止支持，不再获得安全修复，这类存量部署应列入淘汰计划。