Der Access Rights Manager ist SolarWinds’ Werkzeug zur Verwaltung von Zugriffsrechten – und damit ein Produkt, das tief in die Rechtestruktur einer Umgebung hineinreicht. Genau dort steckt nun eine Schwachstelle, die Angreifern ohne gültige Anmeldedaten die Ausführung von Code aus der Ferne erlaubt. Registriert ist sie als CVE-2026-28326 mit einem CVSS-Wert von 8,8.
Als Ursache benennt SolarWinds einen hartcodierten statischen Schlüssel. In der Mitteilung vom 17. September 2026 heißt es, der Access Rights Manager sei als betroffen von einer nicht authentifizierten Schwachstelle zur Codeausführung aus der Ferne gemeldet worden; das Problem rühre von einem hartcodierten statischen Schlüssel her. Anfällig sind alle Ausgaben bis 2026.2, korrigiert wurde der Fehler in ARM 2026.2.1.
Den Fund schreibt das Unternehmen Kai Huang zu, Sicherheitsforscher bei Armadin. Angaben zu Angriffen auf die Lücke macht SolarWinds nicht – von einer Ausnutzung in freier Wildbahn ist in dem Hinweis keine Rede.
Der Patch folgt knapp zwei Monate auf Korrekturen für den Web Help Desk (WHD). Dort hatte SolarWinds eine als kritisch eingestufte Schwachstelle geschlossen, die unter CVE-2026-28323 mit einem CVSS-Wert von 9,8 geführt wird: Bei aktivierter SAML-2.0-Authentifizierung ließ sich die Anmeldung umgehen.
Im selben Zug beseitigte der Hersteller eine Schwachstelle, über die sich ein Dienstausfall auslösen ließ (CVE-2026-28299, CVSS 8,2). Dabei konnte der Web-Help-Desk-Server wegen unzureichenden Arbeitsspeichers abstürzen. Beide Probleme sind in WHD 2026.2.1 behoben.
Deutlich umfangreicher fiel die Aufräumaktion beim Dateitransferprodukt Serv-U aus: Dort schloss SolarWinds insgesamt 16 Schwachstellen – CVE-2026-28302, CVE-2026-28304 bis CVE-2026-28317, CVE-2026-28321 sowie CVE-2026-28323. Sie konnten laut Hersteller zu einer Ausweitung von Rechten, zur Codeausführung aus der Ferne und zum Anlegen von Administratorkonten führen.