SolarWinds ARM: Unauthentifizierte RCE durch fest einprogrammierten Schlüssel

SolarWinds hat am 17. September 2026 ein Sicherheitsadvisory zu CVE-2026-28326 im Access Rights Manager (ARM) veröffentlicht. Die Schwachstelle wird mit CVSS 8.8 von 10.0 als hochgradig kritisch eingestuft und erlaubt eine unauthentifizierte Remote Code Execution. Als Ursache nennt der Hersteller einen fest einprogrammierten statischen Schlüssel. Betroffen sind alle Versionen bis einschließlich 2026.2, behoben ist das Problem in ARM 2026.2.1.

Betroffen ist nur, wer SolarWinds Access Rights Manager tatsächlich einsetzt. Wer das Produkt nicht im Haus hat, muss für diese konkrete Lücke nichts tun. Für alle anderen gilt: Ist die ARM-Oberfläche aus dem Internet oder aus wenig vertrauenswürdigen Netzsegmenten erreichbar, gehört das Update noch heute eingeplant. Rein intern erreichbare Installationen können in ein geplantes, aber zeitnahes Wartungsfenster. Eine Ausnutzung in freier Wildbahn erwähnt SolarWinds ausdrücklich nicht, Panik ist also nicht angebracht, Abwarten aber auch nicht.

Was ist passiert?

Laut Advisory vom 17. September 2026 wurde dem Hersteller gemeldet, dass der Access Rights Manager von einer unauthentifizierten Remote-Code-Execution-Schwachstelle betroffen ist. Die Formulierung von SolarWinds dazu lautet sinngemäß, das Problem gehe auf einen fest einprogrammierten statischen Schlüssel zurück. Entdeckt und gemeldet hat die Lücke Kai Huang, Sicherheitsforscher bei Armadin. Der Hersteller nennt ihn im Advisory namentlich als Melder.

Unauthentifiziert bedeutet in diesem Zusammenhang, dass ein Angreifer vorab keine gültigen Zugangsdaten für das System braucht. Es genügt, die verwundbare Komponente über das Netz zu erreichen. Der veröffentlichte CVE-Eintrag ordnet die Lücke als Code Injection ein und vergibt den Basiswert 8.8.

Zur Abgrenzung: Es geht diesmal um den Access Rights Manager und nicht um die früher gemeldete Denial-of-Service-Lücke CVE-2026-28318 in SolarWinds Serv-U, über die S-EDV bereits berichtet hat. Anderes Produkt, andere CVE, anderer Angriffspfad.

Wer ist betroffen?

Das Advisory nennt als verwundbar alle Versionen von Access Rights Manager 2026.2 und älter. Eine Einschränkung auf bestimmte Installationsvarianten, Editionen oder Zusatzmodule macht SolarWinds nicht. Wer also eine ARM-Instanz betreibt, deren Versionsnummer 2026.2 oder kleiner ist, muss von Verwundbarkeit ausgehen, bis das Update eingespielt ist.

• Verwundbar: SolarWinds Access Rights Manager in allen Ständen bis einschließlich 2026.2.
• Behoben: Access Rights Manager 2026.2.1.
• Nicht betroffen von dieser CVE: Umgebungen ohne SolarWinds ARM. Auch der Einsatz anderer SolarWinds-Produkte allein macht eine Installation nicht zu einem ARM-Fall.
• Trotzdem prüfenswert: Wer SolarWinds-Produkte allgemein betreibt, sollte den Patchstand von Web Help Desk und Serv-U im selben Durchgang mitnehmen.

Besonders aufmerksam sollten Umgebungen sein, in denen ARM zentral für Rechteberichte und Rechtevergabe im Active Directory, auf Dateiservern und in SharePoint genutzt wird. Genau das ist der Regelfall, denn dafür ist das Produkt gedacht.

Wie kritisch ist das?

Die Einstufung mit CVSS 8.8 liegt im oberen Bereich, ohne die Höchstwerte zu erreichen. Entscheidend für die Praxis ist weniger die Zahl als die Kombination aus zwei Eigenschaften: keine Zugangsdaten nötig und Codeausführung als Ergebnis. Wer Codeausführung auf dem ARM-Server erreicht, steht nicht irgendwo im Netz, sondern auf dem System, das Berechtigungen verwaltet. Ein Werkzeug zur Rechteverwaltung hat konstruktionsbedingt weitreichende Rechte in der Verzeichnisstruktur. Wer die Rechteverwaltung übernimmt, kann sich anschließend selbst Rechte geben.

Der zweite Punkt ist die Fehlerklasse. Ein fest einprogrammierter statischer Schlüssel ist nichts, was der Kunde individuell konfiguriert. Er steckt in jeder Installation identisch im Produkt. Ein einmal öffentlich bekannter Schlüssel funktioniert damit überall gleich, ohne dass ein Angreifer etwas über die Zielumgebung wissen muss. Das ist der Grund, hier nicht auf einen öffentlichen Exploit zu warten, obwohl bislang keine Ausnutzung gemeldet ist.

Gesichert ist: CVE-Nummer, Bewertung, betroffene Versionen, behobene Version, Ursache und Melder stammen aus dem Herstelleradvisory. Unsicher beziehungsweise schlicht nicht ausgesagt ist alles zum Thema aktive Angriffe. SolarWinds erwähnt keine Ausnutzung in freier Wildbahn, und ohne konkrete Quelle behauptet dieser Artikel auch keine.

Aktueller Patchstand bei SolarWinds

Die ARM-Lücke ist nicht der einzige Fix der vergangenen Wochen. Vor knapp zwei Monaten hatte SolarWinds bereits Korrekturen für Web Help Desk ausgeliefert, dazu einen umfangreichen Satz Fixes für Serv-U. Wer ohnehin ein Wartungsfenster für ARM plant, sollte diese Produkte im selben Durchgang prüfen.

Produkt	CVE	CVSS	Art der Lücke	Behoben in
Access Rights Manager	CVE-2026-28326	8.8	Unauthentifizierte Remote Code Execution durch statischen Schlüssel	ARM 2026.2.1
Web Help Desk	CVE-2026-28323	9.8	SAML-Authentifizierungs-Bypass bei aktivierter SAML-2.0-Authentifizierung	WHD 2026.2.1
Web Help Desk	CVE-2026-28299	8.2	Denial of Service, Serverabsturz wegen unzureichenden Speichers	WHD 2026.2.1
Serv-U	16 Schwachstellen, siehe Liste unten	nicht einzeln ausgewiesen	Rechteausweitung, Remote Code Execution, Anlegen von Administratorkonten	Herstellerfixes verfügbar

Die 16 Serv-U-Schwachstellen führt die Quelle als CVE-2026-28302, CVE-2026-28304 bis CVE-2026-28317, CVE-2026-28321 und CVE-2026-28323 auf. Als Beobachtung am Rande: Die Nummer CVE-2026-28323 taucht dabei sowohl im Web-Help-Desk-Block als auch in der Serv-U-Liste auf. Eine Erklärung dafür liefert die Quelle nicht, und dieser Artikel stellt bewusst keine eigene These dazu auf.

Was sollten Admins jetzt tun?

• Erst inventarisieren: Klären, ob SolarWinds Access Rights Manager überhaupt im Einsatz ist und welche Versionsnummer die Installation meldet. Ohne diesen Schritt ist jede weitere Maßnahme Rätselraten.
• Version bewerten und patchen: Alles bis einschließlich 2026.2 gilt als verwundbar. Zielstand ist 2026.2.1. Vor dem Update ein Backup der ARM-Datenbank und der Konfiguration anlegen.
• Netzwerkexposition prüfen: Feststellen, ob die ARM-Weboberfläche und die zugehörigen Dienste aus dem Internet oder aus Gastnetzen, WLAN-Segmenten und Außenstandorten erreichbar sind. Ein Rechteverwaltungswerkzeug gehört nicht ins Internet. Internetexponierte Installationen sofort behandeln.
• Andere SolarWinds-Produkte mitnehmen: Web Help Desk auf 2026.2.1 bringen und den Patchstand von Serv-U gegen die vom Hersteller bereitgestellten Fixes abgleichen.
• Dienstkonto einschränken: ARM arbeitet mit hohen Rechten. Prüfen, mit welchem Konto der Dienst läuft, welche Gruppenmitgliedschaften und Delegierungen daran hängen, und nach dem Prinzip der geringsten Rechte reduzieren.
• Logs und Verzeichnis prüfen: Active-Directory-Änderungen auf unerwartete Rechtevergaben, neue Gruppenmitgliedschaften in privilegierten Gruppen und neu angelegte Administratorkonten durchsehen. Auf Serv-U-Systemen ist das Anlegen von Administratorkonten explizit als mögliche Folge genannt, dort also besonders genau hinschauen.
• Zugriff einschränken, wo der Patch wartet: Wenn ein Update kurzfristig nicht möglich ist, den Zugriff auf den ARM-Server auf definierte Administrationsnetze begrenzen, statt die Lücke offen stehen zu lassen.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die Lage überschaubar, aber nicht harmlos. Access Rights Manager ist kein Produkt, das versehentlich irgendwo mitläuft. Wer es betreibt, weiß das in der Regel, und meist steht es zentral an der Rechteverwaltung von Dateiservern und Active Directory. Genau deshalb ist ein Treffer dort teuer: Der Angreifer landet nicht auf einem beliebigen Server, sondern auf dem System, das Berechtigungen setzt.

Die praktische Entscheidung lässt sich an einer einzigen Frage aufhängen: Wie weit ist der ARM-Server erreichbar? Eine Installation, die ausschließlich aus einem abgesicherten Administrationsnetz erreichbar ist, hat eine deutlich kleinere Angriffsfläche als eine, die über eine Firewall-Regel von außen zugänglich gemacht wurde. Beides sollte gepatcht werden, nur der Zeitdruck unterscheidet sich.

Wer die Gelegenheit nutzen will: Ein Vorfall wie dieser ist ein guter Anlass, die Rechte des ARM-Dienstkontos zu überprüfen und die Netzsegmentierung für Verwaltungssysteme nachzuziehen. Beides senkt den Schaden auch bei der nächsten Lücke in irgendeinem Verwaltungswerkzeug, unabhängig vom Hersteller.

Passende Anleitungen auf S-EDV

• SolarWinds Serv-U CVE-2026-28318: Patch bis 19. Juni: Hintergrund zur früheren Serv-U-Lücke, die ein anderes Produkt und einen anderen Angriffspfad betrifft.
• Dateiserver: NTFS- und Freigabeberechtigungen einrichten: Grundlagen zur Rechtevergabe, die ein Werkzeug wie ARM verwaltet.
• Zero-Trust-Netzwerksegmentierung: VLANs im KMU: wie Sie Verwaltungssysteme vom restlichen Netz trennen und die Angriffsfläche verkleinern.

Quellen

• SolarWinds Trust Center: Security Advisory zu CVE-2026-28326, abgerufen am 20. September 2026.
• The Hacker News: SolarWinds Patches ARM Hard-Coded Key Flaw Enabling Unauthenticated RCE, 19. September 2026.
• CVE-Eintrag CVE-2026-28326, veröffentlicht am 17. September 2026, CNA SolarWinds.
• SolarWinds Trust Center: Übersicht der Security Advisories, abgerufen am 20. September 2026.