CVE-2026-28326 : clé cryptographique hard-codée dans SolarWinds ARM

Les faits

Le 17 septembre 2026, SolarWinds a publié un correctif de sécurité pour CVE-2026-28326, une vulnérabilité affectant Access Rights Manager (ARM). Classée CVSS 8.8 et référencée CWE-321 (Use of Hard-coded Cryptographic Key), cette faille concerne une solution largement déployée dans les entreprises pour gérer et auditer les droits d'accès Active Directory, les serveurs de fichiers et les ressources réseau Windows.

Le problème est fondamental : le service ARM utilise une clé cryptographique statique, identique dans toutes les installations, pour signer et valider les tokens d'authentification émis lors des connexions à l'interface de gestion. Cette clé est directement intégrée dans le code de l'application — elle ne peut pas être modifiée par les administrateurs, ne tourne jamais, et est rigoureusement identique sur tous les déploiements ARM de la planète.

La conséquence est directe : tout attaquant ayant accès réseau au service ARM peut extraire cette clé depuis le binaire ARM par reverse engineering, puis l'utiliser pour signer ses propres tokens d'authentification avec les droits qu'il choisit. Dans la pratique, cela permet une exécution de commandes arbitraires sur le serveur hébergeant ARM, sans connaître le moindre identifiant utilisateur valide. The Hacker News a couvert la divulgation sous le titre "SolarWinds Patches ARM Hard-Coded Key Flaw Enabling Unauthenticated RCE".

SolarWinds Access Rights Manager est une plateforme critique dans la plupart des environnements Windows d'entreprise. Elle s'interface directement avec Active Directory pour gérer les délégations de droits, auditer les modifications de permissions, et générer des rapports de conformité réglementaire (NIS2, ISO 27001, SOX). Un attaquant qui compromet le serveur ARM obtient non seulement l'exécution de code sur celui-ci, mais aussi un accès privilégié à l'ensemble des données d'audit Active Directory et potentiellement la capacité de modifier les rapports de conformité enregistrés.

La Cyber Security Agency of Singapore (CSA) a intégré ce correctif dans son alerte AL-2026-091, publiée le même jour, qui couvre également d'autres vulnérabilités SolarWinds. Cette publication simultanée de plusieurs avis d'agences gouvernementales illustre la rapidité avec laquelle les organismes de sécurité nationaux coordonnent désormais leurs communications autour des vulnérabilités critiques dans les logiciels d'administration largement répandus.

L'EPSS (Exploit Prediction Scoring System) rapporte à ce stade un score inférieur à 1 % pour CVE-2026-28326, et la vulnérabilité n'est pas encore répertoriée dans le catalogue KEV de la CISA. Cependant, la nature même d'une clé hard-codée change fondamentalement le calcul de risque : une fois la clé extraite du binaire et publiée — que ce soit par des chercheurs en sécurité ou par des acteurs malveillants — l'exploitation devient triviale pour n'importe quel attaquant disposant d'un accès réseau au service. Le score EPSS faible reflète l'absence d'exploitation publique au moment de la publication, pas la facilité d'exploitation future.

SolarWinds a une histoire particulièrement chargée en matière de sécurité. La compromission de SolarWinds Orion via l'opération SUNBURST en 2020 reste l'une des attaques de supply chain les plus sophistiquées jamais documentées, ayant touché des centaines d'agences gouvernementales américaines et de grandes entreprises mondiales. Depuis lors, l'éditeur a renforcé ses pratiques de développement sécurisé, mais Access Rights Manager a déjà fait l'objet de multiples CVE critiques en 2024 et 2025, dont plusieurs permettaient également des RCE non authentifiées. CVE-2026-28326 s'inscrit dans cette continuité préoccupante.

La version 2026.2.1, disponible sur le portail de support SolarWinds depuis le 17 septembre 2026, élimine le problème en remplaçant la clé cryptographique statique par une clé générée de façon unique lors de l'installation de chaque instance ARM. Ce changement rend chaque déploiement cryptographiquement indépendant des autres et invalide tout token forgé avec l'ancienne clé hard-codée.

Impact et exposition

Toutes les organisations utilisant SolarWinds Access Rights Manager en version 2026.2 ou antérieure sont exposées à CVE-2026-28326. Le risque est maximal pour les déploiements où le service ARM est accessible depuis un réseau non de confiance. En environnement d'entreprise typique, le serveur ARM est accessible depuis les postes des administrateurs réseau et Active Directory — une compromission initiale d'un poste de ce type pourrait être utilisée pour pivoter vers ARM, puis vers Active Directory avec des droits étendus.

Recommandations

• Mettre à jour vers ARM 2026.2.1 : appliquer le patch SolarWinds disponible depuis le 17 septembre 2026 ; la mise à jour remplace la clé hard-codée par une clé unique par installation, invalidant par la même occasion les tokens éventuellement forgés avec l'ancienne clé
• Restreindre l'accès réseau au service ARM : s'assurer que le service ARM n'est accessible que depuis les postes d'administration désignés, via une règle de pare-feu ou de segmentation réseau, bloquant tout autre accès
• Auditer les logs ARM : rechercher des connexions inhabituelles, des authentifications depuis des IP non référencées, ou des modifications de permissions non planifiées qui auraient pu survenir avant l'application du patch
• Rotation des comptes de service : si une compromission antérieure est suspectée, envisager une rotation des comptes de service utilisés par ARM pour interagir avec Active Directory et réinitialiser les droits délégués configurés dans ARM
• Surveiller les publications de recherche offensive : dès que la clé hard-codée sera publiée par un chercheur, l'exploitation deviendra immédiatement accessible à tous ; surveiller les feeds CTI pour tout indicateur de publication d'exploit public et accélérer le patch si ce n'est pas encore fait