Solarwinds

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ร้ายแรง 2 รายการใน Observability Self-Hosted ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน รายการแรก CVE-2026-28324 (CVSS 9.8) เป็นการตรวจสอบความสมบูรณ์ที่ไม่เพียงพอ อีกรายการ CVE-2026-28325 (CVSS 8.8) เป็นช่องโหว่ deserialization ข้อมูลที่ไม่น่าเชื่อถือ กระทบทุกเวอร์ชันถึง 2026.2.2 แก้ไขแล้วใน 2026.2.3 บริษัทไม่ระบุว่าถูกโจมตีจริง เครดิตนายไค หวง จาก Armadin คนเดียวกับที่รายงานช่องโหว่ ARM สัปดาห์ก่อน

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ระดับสูง CVE-2026-28326 (CVSS 8.8) ใน Access Rights Manager ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ต้นตอมาจากคีย์แบบ static ที่ฝังตายไว้ในโค้ด กระทบ ARM เวอร์ชัน 2026.2 และก่อนหน้า แก้ไขแล้วใน 2026.2.1 บริษัทไม่ได้ระบุว่าถูกโจมตีจริง เครดิตนักวิจัยจาก Armadin การแก้ครั้งนี้ตามหลังการปิดช่องโหว่ Web Help Desk และ Serv-U อีกหลายรายการ

CISA เพิ่ม CVE-2026-28318 ช่องโหว่ denial-of-service ระดับสูงใน SolarWinds Serv-U เข้าแคตตาล็อก Known Exploited Vulnerabilities หลังพบหลักฐานการโจมตีจริง ช่องโหว่ CVSS 7.5 เกิดจาก POST request ที่สร้างขึ้นพิเศษพร้อม Content-Encoding: deflate ทำให้บริการล่มโดยไม่ต้องยืนยันตัวตน SolarWinds แก้แล้วในเวอร์ชัน 15.5.4 HF1 หน่วยงานรัฐสหรัฐฯ ต้องแก้ไขภายใน 19 มิถุนายน 2026 ที่ผ่านมา Serv-U เคยถูกกลุ่ม Cl0p โจมตีมาแล้ว