Skip to content
Hacker Posts

SolarWinds corrige Observability Self-Hosted et Patch Manager (AVI-1364)

AVI-1364 : SolarWinds corrige une autorisation cassée (élevée), un SSRF, un XSS et une exposition de données dans Observability Self-Hosted et Patch Manager. Correctif en 2026.4.

Publié le 2 min de lecture
cvesolarwindsalertecert-fr

Le CERT-FR a publié le 22 octobre l'avis CERTFR-2026-AVI-1364, qui relaie quatre correctifs SolarWinds datés du 20 octobre (publiés au centre de confiance de l'éditeur) pour Observability Self-Hosted et Patch Manager. La faille à traiter en priorité est une autorisation cassée de sévérité élevée ; les trois autres (SSRF, XSS, exposition de données) sont de sévérité moyenne. Toutes sont corrigées dans la version 2026.4.

Produits et versions affectés

  • SolarWinds Observability Self-Hosted : versions antérieures à 2026.4
  • SolarWinds Patch Manager : versions antérieures à 2026.4

Détail des failles

D'après les bulletins de l'éditeur :

  • CVE-2026-28328 — autorisation cassée (broken authorization) dans Observability Self-Hosted, sévérité élevée. C'est la seule classée haute du lot.
  • CVE-2026-28329 — falsification de requête côté serveur (SSRF) dans Observability Self-Hosted, sévérité moyenne.
  • CVE-2026-28330 — injection de code indirecte à distance (XSS) dans Observability Self-Hosted, sévérité moyenne.
  • CVE-2026-28331 — exposition d'informations sensibles dans Patch Manager, sévérité moyenne.

L'éditeur corrige l'ensemble dans la version 2026.4 des deux produits ; les bulletins ne précisent pas de contournement.

Statut d'exploitation

Ni l'avis du CERT-FR ni les bulletins SolarWinds ne font état d'une exploitation, et aucune de ces CVE ne figurait au catalogue KEV de la CISA à la publication. Aucun code d'exploitation public n'est signalé.

Que faire

  1. Mettez à jour Observability Self-Hosted et Patch Manager en 2026.4. Un seul palier ferme les quatre failles.
  2. Priorisez l'autorisation cassée (CVE-2026-28328) : un défaut de contrôle d'accès sur une console d'observabilité expose la supervision et les identifiants qu'elle agrège.
  3. Si la mise à jour doit attendre, restreignez l'accès réseau aux consoles concernées et examinez les journaux d'accès à la recherche de requêtes sortantes inattendues (piste SSRF via CVE-2026-28329).

Contexte

Rien d'exploité ni de spectaculaire ici : c'est un lot de correctifs applicatifs de routine, à appliquer à la cadence habituelle. La nuance utile tient à la nature des produits : Patch Manager pousse des correctifs sur un parc entier, et Observability centralise la télémétrie. Une exposition de données sur l'un et une autorisation cassée sur l'autre sont des points d'appui classiques pour un attaquant déjà présent sur le réseau — d'où l'intérêt de ne pas laisser ces consoles d'administration joignables au-delà du strict nécessaire, correctif ou pas.

Articles liés