A SolarWinds publicou em 3 de novembro de 2026 um aviso sobre a CVE-2026-28336, falha de injeção de comando no Dameware que recebeu nota 9,9 de 10. O Dameware é a ferramenta de suporte remoto da empresa, usada por equipes de TI para assumir o controle de estações de trabalho, e a falha permite que um usuário autenticado execute comandos e comprometa a máquina atendida.
A injeção de comando acontece quando o software recebe uma entrada do usuário e a repassa ao sistema operacional sem validar o conteúdo. O que deveria ser apenas um dado passa a ser interpretado como instrução, e o atacante acrescenta os próprios comandos àquilo que o programa já executaria.
O vetor registrado pela SolarWinds é de rede, com baixa complexidade e sem interação do usuário. A exigência é ter uma conta válida no Dameware, ainda que de privilégio baixo, o que coloca a falha ao alcance de qualquer operador de suporte e de quem tenha obtido uma credencial desse tipo.
O elemento que amplia o problema é a mudança de escopo prevista no vetor CVSS. O impacto não para no componente vulnerável, alcança a máquina remota controlada pela ferramenta, com confidencialidade, integridade e disponibilidade classificadas como altas. Em um ambiente de suporte, uma conta comum se converte em acesso privilegiado nas estações atendidas.
O crédito pela descoberta foi dado a Greg Bernatowicz, do Boeing Enterprise Security Red Team. Nenhum malware foi associado à falha e o aviso não relata ataques em andamento, o que coloca a atualização em um cenário de prevenção e não de resposta a incidente.
Foram afetadas a versão 2026.3 do Dameware e todas as anteriores. A correção está na 2026.3.1. Esta não é a primeira falha de segurança tratada no produto: uma elevação de privilégio no mesmo software foi reparada em 2025, e em julho a SolarWinds publicou correções para quinze vulnerabilidades do Serv-U.
A orientação é atualizar para a 2026.3.1 e, no mesmo movimento, revisar a lista de contas do Dameware e remover as que não têm uso, já que a exploração depende justamente de uma credencial válida. Limitar o acesso de rede à ferramenta, deixando o console alcançável apenas a partir das redes administrativas, reduz a superfície de quem pode sequer tentar o ataque. A revisão dos registros em busca de comandos incomuns completa a verificação em ambientes que mantenham o produto exposto.
