SolarWinds corrige une clé codée en dur qui permettait une prise de contrôle root sans authentification

L'éditeur américain SolarWinds a publié le 17 septembre 2026 un correctif pour une vulnérabilité d'exécution de code à distance non authentifiée dans son logiciel de gestion des droits d'accès Access Rights Manager (ARM), causée par une clé cryptographique codée en dur dans le produit, selon The Hacker News.

Une clé statique identique pour tous les clients

Référencée CVE-2026-28326 et signalée par le chercheur Kai Huang, de la société Armadin Security, la faille provient d'une clé statique intégrée au code du logiciel plutôt que générée aléatoirement pour chaque installation. SolarWinds évalue sa gravité à 8,8 sur 10 selon l'échelle CVSS. Elle touche toutes les versions d'ARM 2026.2 et antérieures ; le correctif est intégré à la version 2026.2.1.

Faut-il s'inquiéter dès maintenant ?

SolarWinds indique n'avoir observé, à la date de publication, aucune preuve d'exploitation active de la faille. Cela n'enlève rien à sa gravité potentielle : un logiciel de gestion des droits d'accès sert précisément à contrôler qui peut accéder à quoi dans un système d'information, ce qui en fait une cible de choix pour un attaquant cherchant à obtenir des privilèges élevés sans même connaître d'identifiant valide. Une clé statique codée en dur signifie en pratique que toutes les installations non corrigées partagent la même valeur secrète : il suffit qu'elle soit extraite une seule fois, par rétro-ingénierie du logiciel, pour être réutilisée contre n'importe quel autre client n'ayant pas encore appliqué le correctif.

Une année chargée pour SolarWinds

Ce correctif s'ajoute à une série de vulnérabilités critiques corrigées par l'éditeur ces derniers mois, dont un contournement d'authentification SAML dans Web Help Desk (CVE-2026-28323, noté 9,8 sur 10) et seize failles dans Serv-U permettant escalade de privilèges et exécution de code à distance. SolarWinds reste un fournisseur sous surveillance étroite depuis la compromission de sa chaîne d'approvisionnement révélée en 2020, ce qui explique l'attention soutenue portée par la communauté de la sécurité à chacune de ses failles.

Source

D'après The Hacker News, 19 septembre 2026.