首页/新闻资讯/正文详情

SolarWinds曝9.8分严重漏洞:无需登录即可远程执行代码,2026.2.3紧急更新发布

发布时间:2026/9/24 14:58:34 来源:云帆数科 栏目:资讯中心
SolarWinds曝9.8分严重漏洞:无需登录即可远程执行代码,2026.2.3紧急更新发布
不用登录、不用任何凭据攻击者就能把命令丢进你的监控服务器执行——这种场景并非电影桥段而是SolarWinds刚刚按下“修复键”的两个严重漏洞。2026年9月22日SolarWinds对外发布了Observability Self-Hosted 2026.2.3紧急安全更新一口气封堵了编号为CVE-2026-28324和CVE-2026-28325的两个未经身份验证远程代码执行漏洞。前者CVSS评分高达9.8接近满分属于彻头彻尾的“严重级”后者评分8.8同样不容小觑。任何运行SolarWinds可观测性自托管方案的运维团队此刻都应该把打补丁这件事排到待办清单的最前面。现代企业的IT监控平台往往掌握着整个网络环境的“神经中枢”地位一旦失守后果远超单台服务器被攻破。这两个漏洞的共同点在于它们都瞄准了特定配置和通信模式下的薄弱环节。CVE-2026-28324的根源是Observability自托管安装在非默认、非安全的配置方式下缺乏足够的完整性校验。说得直白一点当管理员为了省事或兼容旧环境而修改了默认部署形态时系统对传入数据的“验明正身”环节就被削弱了攻击者借此便能绕过身份验证直接在服务器上执行任意命令。而CVE-2026-28325走的则是另一条路——不安全的反序列化。应用程序在特定通信模式下接收了攻击者精心构造的序列化数据未经充分校验便贸然处理恶意对象随即在应用上下文中被实例化、运行。这就像收发快递时不拆箱检查直接把包裹里的“东西”摆上了货架。SolarWinds在官方公告中并未公布概念验证代码但从两个漏洞的高评分来看暴露于公网或采用特殊配置的服务器应当被视为最高优先级的补丁目标。值得肯定的是这两个漏洞均由Armadin公司的安全研究员Kai Huang以负责任的方式上报厂商也确认问题已在2026.2.3版本中彻底修复。值得一提的是这次更新没有带来任何新功能纯粹是一次安全修复加平台可靠性改进的“止血式”发布——这恰恰说明问题的紧迫程度。对于部署了Web Performance MonitorWPM播放器的环境这次升级还悄悄改写了部分通信规则。升级完成后默认安装在主轮询引擎上的被动式WPM播放器其通信方式将从“服务器主动发起”切换为“播放器主动发起”。远程被动式播放器在升级过程中会被自动分配一组随机生成的强密码无需人工干预。不过这里有个容易踩坑的细节如果管理员此前关闭了“启用升级”选项播放器不会自动跟进更新必须手动完成升级操作而主动式、由播放器发起连接的WPM播放器在升级后则不再需要密码。SolarWinds建议通过“设置”中的“我的部署”入口升级整个部署平台产品和相关可扩展引擎会一并更新到位。在动手升级之前安全团队最好先做一次全面的资产清点梳理出所有主轮询引擎、远程WPM播放器及其正在使用的通信模式确认被动式远程播放器是否启用了强身份验证并逐一核对那些因配置原因未能自动升级的系统。补丁之外防御纵深同样不可忽视——审查服务器暴露面、将管理访问权限收敛到可信网络、持续监控SolarWinds应用日志与Windows事件日志中异常的进程执行记录任何涉及轮询引擎或WPM播放器的可疑活动都值得深入调查。另一个容易被忽略的隐患藏在版本生命周期里。SolarWinds早已停止对Observability Self-Hosted 2024.2及更早版本的工程支持这些老版本不再接收任何定期修复或服务更新相当于在公网上“裸奔”。还在坚守旧版的组织与其祈祷攻击者手下留情不如借这次事件把升级路线图真正提上日程。毕竟监控平台本该是企业网络的“瞭望塔”而不是黑客进出的“后门”。

相关推荐

Apereo CAS 图形用户认证(GUA)实战指南:登录图片二次验证的原理、配置与源码剖析
Apereo CAS 图形用户认证(GUA)实战指南:登录图片二次验证的原理、配置与源码剖析

后端认证鉴权单点登录 【免费下载链接】cas Apereo CAS - Identity & Single Sign On for all earthlings and beyond. 项目地址: https://gitcode.com/gh_mirrors/ca/cas 点击查看 免费下载 导读 GUA(Graphical User Authentication,图… · 2026/9/24 14:58:16

每次卡顿重启光猫路由器就好?别自欺欺人了!这才是根治网速卡顿的真相
每次卡顿重启光猫路由器就好?别自欺欺人了!这才是根治网速卡顿的真相

几乎所有人遇到网速卡顿、加载转圈、延迟变高,第一操作就是重启光猫和路由器。神奇的是,重启完瞬间网速满血、测速满分、上网丝滑,很多人就此以为网络没问题,只是偶尔抽风。但过不了半天、最多一天,卡顿、掉速、缓冲问… · 2026/9/24 14:58:10

FPGA_GTY_SerDes_高速串并转换技术说明
FPGA_GTY_SerDes_高速串并转换技术说明

1. 概述高速串行通信的核心目标,是解决通信系统中“并行数据位宽大、走线多”与“高速传输希望减少布线数量”之间的矛盾。传统并行接口可能需要:D0 D1 D2 ... D31 CLK Control如果采用高速串行通信,则可以把多位并行数据转换为一条或少量几条… · 2026/9/24 14:58:09

RedwoodJS 部署指南:从 Serverless 到 Baremetal 的全目标部署体系解析
RedwoodJS 部署指南:从 Serverless 到 Baremetal 的全目标部署体系解析

后端前端Web框架开发工具 【免费下载链接】redwood RedwoodGraphQL 项目地址: https://gitcode.com/gh_mirrors/re/redwood 点击查看 免费下载 Redwood 框架从设计之初就同时面向 serverless 与传统服务器两类基础设施,并为两者提供了统一的持续部署流程… · 2026/9/24 16:02:42

国家中小学智慧教育平台电子课本三步存为 PDF
国家中小学智慧教育平台电子课本三步存为 PDF

国家中小学智慧教育平台电子课本三步存为 PDF 【免费下载链接】tchMaterial-parser 国家中小学智慧教育平台 电子课本下载工具,帮助您从智慧教育平台中获取电子课本的 PDF 文件网址并进行下载,让您更方便地获取课本内容。 项目地址: https://gitcode.c… · 2026/9/24 16:02:36

Akka Streams 快速入门:从第一个 Source 到背压与物化值完整实战指南
Akka Streams 快速入门:从第一个 Source 到背压与物化值完整实战指南

Akka Streams 快速入门:从第一个 Source 到背压与物化值完整实战指南 【免费下载链接】akka-core A platform to build and run apps that are elastic, agile, and resilient. SDK, libraries, and hosted environments. 项目地址: https://gitcode.com/gh_mirro… · 2026/9/24 16:02:36

Relay 开发工作流:Relay Compiler 的配置、运行与产物生成实战指南
Relay 开发工作流:Relay Compiler 的配置、运行与产物生成实战指南

前端开发工具 【免费下载链接】relay Relay is a JavaScript framework for building data-driven React applications. 项目地址: https://gitcode.com/gh_mirrors/relay29/relay 点击查看 免费下载 本篇技术指南以 Relay 的"工作流(Workflow&… · 2026/9/24 16:02:36

shadcn-vue Scroll Area 组件实战:基于 reka-ui 的跨浏览器自定义滚动区
shadcn-vue Scroll Area 组件实战:基于 reka-ui 的跨浏览器自定义滚动区

UI组件前端 【免费下载链接】shadcn-vue Vue port of shadcn-ui 项目地址: https://gitcode.com/gh_mirrors/sh/shadcn-vue 点击查看 免费下载 本指南以 shadcn-vue 仓库中 Scroll Area 官方文档 为骨架,深入讲解该组件的安装方式、结构组成与用法。Scr… · 2026/9/24 16:02:36

Dopamine JAX NoisyNetwork 解析:基于 Fortunato et al. (2018) 的参数化噪声网络实现与工程实践
Dopamine JAX NoisyNetwork 解析:基于 Fortunato et al. (2018) 的参数化噪声网络实现与工程实践

机器学习深度学习 【免费下载链接】dopamine Dopamine is a research framework for fast prototyping of reinforcement learning algorithms. 项目地址: https://gitcode.com/gh_mirrors/do/dopamine 点击查看 免费下载 导读 本文聚焦于 Dopamine 强化学习框架… · 2026/9/24 16:02:36

基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程
基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程

简介:这是一套面向计算机、人工智能、自动化等专业学生与教师的毕业设计级项目资源,围绕YOLOv8实现渔船作业监控系统,可用于毕设、课程设计、大作业或项目立项演示。压缩包共97个文件,约24.21MB,以70个Python源码文件为… · 2026/9/24 0:00:13

1D-CNN时间序列建模实战:从Conv1d原理到工业落地
1D-CNN时间序列建模实战:从Conv1d原理到工业落地

简介:面向时间序列数据建模的一维卷积神经网络完整实现,适合深度学习入门者及需要快速验证时序模型的研究者,能够从音频、文本、传感器或股价等序列中挖掘局部特征与时间依赖。压缩包体积很小,只有3KB,内含3个Python脚… · 2026/9/24 0:00:26

柔软的L:汉语语流中被忽视的舌肌张力控制
柔软的L:汉语语流中被忽视的舌肌张力控制

1. 这个“L”不是字母表里的L,而是舌尖上的L最近在几个方言群和语音教学社群里,反复看到有人发一句:“也说字母L:柔软的长舌”。初看以为是英语发音课笔记,点开才发现全是方言爱好者、播音系学生、语言康复师甚至戏曲演… · 2026/9/24 0:00:44

了解更多?预约专属演示

我们的顾问将为您一对一讲解产品与方案

企业微信二维码