Qué vulnerabilidades recoge el aviso

INCIBE publicó el 23 de septiembre dos fallos en SolarWinds Observability Self-Hosted anterior a 2026.2.3. CVE-2026-28324 es crítica y puede permitir ejecución remota sin autenticación por una comprobación insuficiente de integridad. Su alcance incluye una configuración no predeterminada e insegura: no debe extrapolarse a todas las instalaciones sin comprobarla.

CVE-2026-28325 tiene severidad alta. La fuente no recoge explotación confirmada para ambos identificadores.

La actualización debe abarcar el despliegue

La recomendación oficial es instalar 2026.2.3 o posterior en todo SolarWinds Platform, incluidos productos y motores de escalabilidad. Actualizar solo el servidor que muestra el panel no acredita que los demás componentes estén corregidos.

Análisis de Defensops: la supervisión también necesita supervisión

Nuestra recomendación es tratar esta revisión como un cambio distribuido. Antes de programarlo, conviene conocer qué componentes existen, quién los administra y qué funciones dependen de cada uno. El inventario debe distinguir equipos retirados, nodos activos y entornos de pruebas para evitar conclusiones a partir de una única consola.

Un registro operativo de cierre debería incluir:

  1. Lista de servidores y motores con versión previa y versión resultante.
  2. Responsables, ventanas de mantenimiento y validaciones pendientes.
  3. Comprobación de la configuración relevante para el alcance del fallo.
  4. Pruebas de recepción de datos, acceso y funciones utilizadas tras el cambio.
  5. Revisión de incidencias nuevas y componentes que no pudieron actualizarse.

Recomendamos conservar el estado previo y los registros necesarios cuando haya indicios de actividad inesperada. Después pueden contrastarse accesos administrativos y cambios con tareas de operación autorizadas. Una interrupción de telemetría durante el mantenimiento tiene una explicación diferente a una modificación no prevista fuera del cambio.

La segmentación y la restricción de la administración ayudan a reducir exposición, pero no sustituyen la corrección. Tampoco un reinicio o una reinstalación parcial demuestran que todos los nodos hayan quedado protegidos.

Para priorizar, proponemos combinar accesibilidad, configuración y dependencia del negocio, en lugar de ordenar únicamente por el nombre del producto. La decisión de investigar un compromiso debe apoyarse en evidencias adicionales; una versión anterior a la corregida identifica una exposición potencial, no una intrusión confirmada.

Esta noticia no vincula los fallos con campañas históricas del fabricante: compartir marca no demuestra que se trate del mismo incidente.

Fuente y actualización

Aviso de INCIBE del 23 de septiembre de 2026. Ampliación editorial: 27 de septiembre. Análisis operativo propio de Defensops.