SolarWinds-Lücke CVE-2026-28326: Kritischer Fehler im ARM entdeckt
Veröffentlicht am: 20.09.2026 um 20:12 Uhr | Redaktion boerse-global.de
In den vergangenen Tagen sind schwerwiegende Sicherheitslücken in weit verbreiteter Unternehmenssoftware bekannt geworden, die das Risiko einer unauthentifizierten Fernausführung von Programmcode (Remote Code Execution, RCE) bergen.
Betroffen sind sowohl Lösungen des IT-Management-Spezialisten SolarWinds als auch die Forschungsplattform REDCap der Vanderbilt University. Die Schwachstellen werden teilweise mit dem zweithöchsten Kritikalitätswert eingestuft und betreffen zentrale Identitäts- und Datenmanagementsysteme.
SolarWinds schließt kritische Lücke im Access Rights Manager
In einem Sicherheits-Advisory vom 17. September 2026 informierte SolarWinds über eine kritische Schwachstelle im SolarWinds Access Rights Manager (ARM). Die unter der Kennung CVE-2026-28326 geführte Lücke weist einen CVSS-Score von 8.8 auf. Demnach ermöglicht ein fest einprogrammierter, statischer kryptografischer Schlüssel (hard-coded static key) Angreifern die Umgehung der Authentifizierung.
Nach Angaben des Unternehmens können Akteure mit Zugriff auf das angrenzende Netzwerk (Adjacent Network) diese Schwachstelle ausnutzen, um ohne vorherige Anmeldung Befehle mit hohen Privilegien auszuführen.
Da der Access Rights Manager tief in Active-Directory-Strukturen und Identitätssysteme integriert ist, stufen Sicherheitsanalysten das potenzielle Risiko für die Unternehmensinfrastruktur als hoch ein. Entdeckt wurde die Schwachstelle von Kai Huang, einem Forscher von Armadin.
Betroffen sind die Version ARM 2026.2 sowie alle davor veröffentlichten Iterationen. SolarWinds stellt mit der Version ARM 2026.2.1 ein entsprechendes Sicherheitsupdate bereit. Bisher liegen dem Hersteller keine Hinweise darauf vor, dass die Schwachstelle bereits aktiv für Angriffe ausgenutzt wurde.
Umfangreiche Patch-Welle bei SolarWinds WHD und Serv-U
Parallel zur ARM-Problematik adressierte SolarWinds am 17. September 2026 weitere Schwachstellen in anderen Produktlinien. Im Web Help Desk (WHD) wurde CVE-2026-28323 behoben, eine Lücke mit einem CVSS-Score von 9.8, die eine Umgehung der SAML-Authentifizierung ermöglichte.
IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen. Ein Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit proaktiv stärken
Zudem wurde CVE-2026-28299 (CVSS 8.2) geschlossen, welche die Gefahr von Denial-of-Service-Angriffen (DoS) barg. Für beide Probleme steht die Version WHD 2026.2.1 als Fix zur Verfügung.
Darüber hinaus umfasst das Update-Paket Korrekturen für insgesamt 16 Sicherheitslücken in der Dateiübertragungslösung Serv-U. Dazu zählen unter anderem die Kennungen CVE-2026-28302 sowie eine fortlaufende Reihe von CVE-2026-28304 bis CVE-2026-28317.
Kritische Schwachstelle in Forschungssoftware REDCap entdeckt
Ein weiterer Sicherheitsvorfall betrifft die Software REDCap (Research Electronic Data Capture). Wie aus einem Bericht vom 20. September 2026 hervorgeht, wurde in der von der Vanderbilt University entwickelten Plattform die Schwachstelle CVE-2026-90817 identifiziert. Mit einem CVSS-Score von 9.8 gilt diese als kritisch.
Die Sicherheitslücke erlaubt eine unauthentifizierte Fernausführung von Code ab der REDCap-Version 13.3.0. Die Angriffskette basiert auf einer Manipulation von HTTP-Anfragen, um das sogenannte Survey-Passthrough-Routing auf eine nicht vorgesehene Controller-Route umzulenken.
Wer sich mit aktuellen Cyberrisiken und der Absicherung von Infrastrukturen befasst, muss die neuen Bedrohungslagen genau kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Gefahren Unternehmer jetzt im Blick behalten müssen. Kostenlosen Cyber-Security-Report herunterladen
In Kombination mit speziell präparierten Parametern beim Datenimport kann dies zur Ausführung von Schadcode führen. Voraussetzung für einen erfolgreichen Angriff ist lediglich ein gültiger öffentlicher Survey-Hash; eine weitergehende Authentifizierung ist nicht erforderlich.
Laut einem Advisory von securifera.com sind die REDCap-Versionen 16.0.49, 17.3.10 und 17.4.4 als nicht betroffen gelistet. Für die betroffenen Versionen ist bislang kein allgemeiner Patch bekannt, zudem wurde kein öffentlicher Proof-of-Concept (PoC) veröffentlicht.
Die Schwachstelle wird aktuell nicht im KEV-Katalog der US-Sicherheitsbehörde CISA geführt, und es gibt keine bekannten Verbindungen zu Ransomware-Aktivitäten. Bisher wurden keine spezifischen Erkennungsregeln für Sicherheitssysteme wie Sigma, Suricata oder YARA zur Verfügung gestellt.
