Producto(s) afectado(s):
| Producto | Versiones afectadas |
| SolarWinds Dameware | 2026.3 y todas las versiones anteriores |
El proveedor no especifica qué componente de Dameware contiene las vulnerabilidades.
Descripción
Se han publicado dos vulnerabilidades en SolarWinds Dameware, una herramienta de soporte y control remoto usada en entornos corporativos. Por su función, un compromiso de Dameware puede extenderse a los equipos que se administran con ella.
La más grave ha sido etiquetada como CVE-2026-28336 (CVSSv3.1 9.9 – CRÍTICO) y es del tipo inyección de comandos. El proveedor indicó que puede llevar al compromiso del equipo controlado a distancia. Requiere autenticación, pero según el vector publicado basta con privilegios bajos, no requiere interacción del usuario, es de baja complejidad y su impacto alcanza a sistemas fuera del componente vulnerable (alcance cambiado).
La segunda ha sido etiquetada como CVE-2026-28335 (CVSSv3.1 8.4 – ALTO) y es un desbordamiento de búfer que, según el proveedor, puede derivar en ejecución remota de código. También requiere autenticación con privilegios bajos, y su complejidad de ataque es alta.
Al 04/11/2026 no hay reportes de explotación activa ni pruebas de concepto públicas, y ninguna de las dos figura en catálogos de vulnerabilidades explotadas conocidas. El proveedor no publicó detalles técnicos adicionales.
Mitigación
El proveedor no publicó mitigaciones ni soluciones alternativas; la solución es actualizar. Mientras tanto, se recomienda:
- Restringir el acceso a Dameware a redes de administración o VPN y no exponerlo a Internet.
- Revisar las cuentas con acceso a Dameware, eliminar las que no se usen y aplicar mínimo privilegio y MFA donde sea posible, ya que ambas vulnerabilidades requieren una cuenta autenticada.
- Revisar los registros de los equipos administrados en busca de procesos o comandos inusuales.
Solución
La solución consiste en actualizar SolarWinds Dameware a la versión 2026.3.1, que corrige ambas vulnerabilidades. El proveedor recomienda realizar la actualización con la misma cuenta de administrador usada en la instalación anterior y con privilegios elevados.
Antes de actualizar, el proveedor recomienda respaldar la configuración del registro y los hosts guardados de Dameware Remote Support (DRS 12.2.4 o posterior) y Mini Remote Control (MRC 12.2.2 o posterior), debido a cambios en la protección de los hosts guardados.
La versión 2026.3.1 también corrige una vulnerabilidad de secuestro de DLL (CVE-2026-28327, CVSSv3.1 8.2) que solo puede aprovecharse durante la instalación y requiere acceso local con privilegios de administrador, y actualiza dos componentes de terceros: Brotli (CVE-2026-111497, CVSSv3.1 9.8), incluida en catálogos de vulnerabilidades explotadas conocidas desde el 27/10/2026, y Apache Log4net (CVE-2026-40021, CVSSv3.1 6.3).
Para info sobre cómo actualizar, visita el siguiente enlace:
https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336
Información adicional:
- SolarWinds — aviso CVE-2026-28336:
https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336 - SolarWinds — aviso CVE-2026-28335:
https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28335 - SolarWinds — aviso CVE-2026-28327:
https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28327 - SolarWinds — notas de versión de Dameware 2026.3.1:
https://documentation.solarwinds.com/en/success_center/dameware/content/release_notes/dameware_2026-3-1_release_notes.htm - CVE — CVE-2026-28336:
https://www.cve.org/CVERecord?id=CVE-2026-28336 - CVE — CVE-2026-28335:
https://www.cve.org/CVERecord?id=CVE-2026-28335 - NVD — CVE-2026-28336:
https://nvd.nist.gov/vuln/detail/CVE-2026-28336 - NVD — CVE-2026-28335:
https://nvd.nist.gov/vuln/detail/CVE-2026-28335