Dameware : une injection de commandes corrigée dans la version 2026.3.1
SolarWinds a publié le 3 novembre 2026 un avis concernant CVE-2026-28336, une vulnérabilité d’injection de commandes dans Dameware. L’éditeur lui attribue une note CVSS de 9,9 sur 10, de niveau critique. Son exploitation nécessite une authentification et peut compromettre l’ordinateur contrôlé à distance. Il ne s’agit donc pas, selon cette description, d’une attaque accessible sans compte.
Dameware 2026.3 et toutes les versions antérieures sont concernés. Le correctif est disponible dans Dameware 2026.3.1. Il faut vérifier ce dernier numéro : une installation limitée à la version 2026.3 reste vulnérable d’après l’éditeur.
Les notes de version du 3 novembre confirment cette correction. Elles recensent aussi CVE-2026-28335, un débordement de tampon permettant une exécution de code à distance après authentification, et CVE-2026-28327, un détournement de DLL pendant l’installation, nécessitant un accès local et des privilèges administrateur.
La priorité est de déployer la version corrigée sur les installations concernées, selon les consignes de mise à niveau de SolarWinds. Les avis consultés ne donnent pas d’indication d’exploitation active pour CVE-2026-28336.
Sources :
