不用登录、不用任何凭据，攻击者就能把命令丢进你的监控服务器执行——这种场景并非电影桥段，而是SolarWinds刚刚按下“修复键”的两个严重漏洞。2026年9月22日，SolarWinds对外发布了Observability Self-Hosted 2026.2.3紧急安全更新，一口气封堵了编号为CVE-2026-28324和CVE-2026-28325的两个未经身份验证远程代码执行漏洞。前者CVSS评分高达9.8，接近满分，属于彻头彻尾的“严重级”；后者评分8.8，同样不容小觑。任何运行SolarWinds可观测性自托管方案的运维团队，此刻都应该把打补丁这件事排到待办清单的最前面。
现代企业的IT监控平台往往掌握着整个网络环境的“神经中枢”地位，一旦失守，后果远超单台服务器被攻破。
这两个漏洞的共同点在于：它们都瞄准了特定配置和通信模式下的薄弱环节。CVE-2026-28324的根源，是Observability自托管安装在非默认、非安全的配置方式下缺乏足够的完整性校验。说得直白一点，当管理员为了省事或兼容旧环境而修改了默认部署形态时，系统对传入数据的“验明正身”环节就被削弱了，攻击者借此便能绕过身份验证，直接在服务器上执行任意命令。而CVE-2026-28325走的则是另一条路——不安全的反序列化。应用程序在特定通信模式下接收了攻击者精心构造的序列化数据，未经充分校验便贸然处理，恶意对象随即在应用上下文中被实例化、运行。这就像收发快递时不拆箱检查，直接把包裹里的“东西”摆上了货架。
SolarWinds在官方公告中并未公布概念验证代码，但从两个漏洞的高评分来看，暴露于公网或采用特殊配置的服务器应当被视为最高优先级的补丁目标。值得肯定的是，这两个漏洞均由Armadin公司的安全研究员Kai Huang以负责任的方式上报，厂商也确认问题已在2026.2.3版本中彻底修复。值得一提的是，这次更新没有带来任何新功能，纯粹是一次安全修复加平台可靠性改进的“止血式”发布——这恰恰说明问题的紧迫程度。
对于部署了Web Performance Monitor（WPM）播放器的环境，这次升级还悄悄改写了部分通信规则。升级完成后，默认安装在主轮询引擎上的被动式WPM播放器，其通信方式将从“服务器主动发起”切换为“播放器主动发起”。远程被动式播放器在升级过程中会被自动分配一组随机生成的强密码，无需人工干预。不过这里有个容易踩坑的细节：如果管理员此前关闭了“启用升级”选项，播放器不会自动跟进更新，必须手动完成升级操作；而主动式、由播放器发起连接的WPM播放器在升级后则不再需要密码。SolarWinds建议通过“设置”中的“我的部署”入口升级整个部署，平台产品和相关可扩展引擎会一并更新到位。
在动手升级之前，安全团队最好先做一次全面的资产清点：梳理出所有主轮询引擎、远程WPM播放器及其正在使用的通信模式，确认被动式远程播放器是否启用了强身份验证，并逐一核对那些因配置原因未能自动升级的系统。补丁之外，防御纵深同样不可忽视——审查服务器暴露面、将管理访问权限收敛到可信网络、持续监控SolarWinds应用日志与Windows事件日志中异常的进程执行记录，任何涉及轮询引擎或WPM播放器的可疑活动都值得深入调查。
另一个容易被忽略的隐患藏在版本生命周期里。SolarWinds早已停止对Observability Self-Hosted 2024.2及更早版本的工程支持，这些老版本不再接收任何定期修复或服务更新，相当于在公网上“裸奔”。还在坚守旧版的组织，与其祈祷攻击者手下留情，不如借这次事件把升级路线图真正提上日程。毕竟，监控平台本该是企业网络的“瞭望塔”，而不是黑客进出的“后门”。