La faille SolarWinds ARM (CVE-2026-28326) permet à un attaquant non authentifié d’exécuter du code à distance sur le serveur Access Rights Manager, à cause d’une clé statique codée en dur dans le produit. Si vous utilisez ARM pour gérer les droits Active Directory, passez en version 2026.2.1 dès cette semaine et vérifiez qui peut joindre la console depuis le réseau.
SolarWinds a publié son avis le 17 septembre et note un score CVSS de 8,8 sur 10. L’éditeur ne signale pas d’exploitation active à ce stade, mais l’expérience montre que l’écart entre correctif et exploitation se réduit vite dès qu’une faille est de ce type : sans mot de passe, sans interaction, sur un outil d’administration.
Ce que permet la faille SolarWinds ARM
Access Rights Manager sert à auditer et à piloter les permissions sur Active Directory, les partages de fichiers, Exchange ou SharePoint. Pour faire son travail, il dispose d’un compte de service aux droits étendus sur votre annuaire et vos serveurs de fichiers. C’est précisément ce qui rend la vulnérabilité sérieuse : prendre la main sur le serveur ARM, c’est potentiellement récupérer les secrets qu’il utilise pour agir sur votre SI.
D’après l’avis de l’éditeur, toutes les versions jusqu’à la 2026.2 incluse sont touchées. Le correctif est livré dans la version 2026.2.1. La découverte est attribuée à un chercheur de la société Armadin, selon The Hacker News.
Pourquoi une clé codée en dur change la donne
Une clé codée en dur est identique sur toutes les installations du produit. Ce type de défaut est répertorié par MITRE sous la référence CWE-321. Concrètement, dès qu’un chercheur ou un attaquant extrait cette clé d’une seule copie du logiciel, il peut s’en servir contre toutes les autres instances exposées qui n’ont pas été mises à jour.
Aucune configuration de votre côté ne neutralise le problème : un mot de passe administrateur robuste ou le MFA sur la console ne changent rien, puisque la faille intervient avant l’authentification. Seuls la mise à jour et la restriction d’accès réseau réduisent réellement le risque.
Qui est concerné en PME et ETI
ARM se rencontre surtout dans les ETI et les PME dotées d’un service informatique structuré, souvent installé il y a plusieurs années pour répondre à une exigence d’audit des droits. C’est aussi le genre d’outil que l’on oublie une fois déployé : il tourne sur un serveur Windows dédié, rarement surveillé, et n’apparaît pas toujours dans le suivi des correctifs mensuels.
Si votre infogérant ou votre intégrateur administre l’annuaire pour vous, posez-lui la question directement : il est possible qu’ARM soit installé chez vous sans que la direction le sache. SolarWinds a d’ailleurs corrigé ces derniers mois d’autres failles sur Web Help Desk et Serv-U, selon The Hacker News : si vous utilisez ces produits, vérifiez-les dans la foulée.
Que faire maintenant
- Identifiez tout serveur exécutant SolarWinds Access Rights Manager et relevez sa version dans la console d’administration.
- Restreignez immédiatement l’accès réseau à la console ARM aux seuls postes d’administration, et vérifiez qu’elle n’est jamais joignable depuis Internet.
- Appliquez la mise à jour vers ARM 2026.2.1 en suivant les notes de version de l’éditeur, après une sauvegarde du serveur.
- Vérifiez les journaux du serveur ARM et les connexions de son compte de service sur les dernières semaines pour repérer toute activité inhabituelle.
- Renouvelez le mot de passe du compte de service ARM si le serveur a été exposé à un réseau non maîtrisé avant la mise à jour.
Pour aller plus loin sur l’ordonnancement des correctifs, notre article sur la priorisation des correctifs face à l’inflation des CVE propose une méthode simple. Et parce qu’un serveur ARM compromis mène tout droit à l’annuaire, relisez aussi notre analyse sur l’usurpation de contrôleur de domaine Active Directory.
Une activité suspecte sur un outil d’administration des droits se repère d’autant plus vite qu’elle est surveillée en continu : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- La faille SolarWinds ARM CVE-2026-28326 permet une exécution de code sans authentification.
- Toutes les versions jusqu’à 2026.2 sont vulnérables, le correctif est la version 2026.2.1.
- La cause est une clé statique commune à toutes les installations.
- Aucune exploitation active n’est signalée, mais la console ne doit jamais être exposée.
- Un serveur ARM compromis ouvre la voie à votre Active Directory.