CISA ostrzega przed luką w SolarWinds – zdalne ataki bez logowania możliwe

Czy help desk może pomóc napastnikowi wejść do twojej sieci? Niestety tak – zwłaszcza gdy właśnie trafił do katalogu CISA jako aktywnie wykorzystywana luka.

CISA dorzuciła do swojego KEV (Known Exploited Vulnerabilities) krytyczną podatność w SolarWinds Web Help Desk (CVE-2025-40551). To nadużycie deserializacji niezaufanych danych prowadzące do zdalnego wykonania kodu – bez logowania. Agencje federalne w USA dostały czas na załatanie do piątku (6 lutego 2026). Łatka jest już dostępna w WHD 2026.1, a reszta rynku powinna potraktować sprawę równie priorytetowo.

Dlaczego to ważne?

Web Help Desk to serce codziennego IT: zgłoszenia, zasoby, workflowy. Narzędzie często działa z podwyższonymi uprawnieniami, widzi pół firmowej sieci i bywa wystawione do internetu. Gdy pojawia się RCE bez uwierzytelnienia i ląduje w KEV, to nie jest teoria – to sygnał, że exploity krążą i ktoś już próbuje je wykorzystać.

O co chodzi

Podatność CVE-2025-40551 ma maksymalną punktację CVSS 9,8 i pozwala uruchamiać komendy na hoście z poziomu WHD. CISA podkreśla: atak nie wymaga żadnego uwierzytelnienia. SolarWinds wydał poprawki w wersji 2026.1, razem z pięcioma innymi łatami – od obejść kontroli dostępu (CVE-2025-40536), przez twardo zakodowane dane logowania (CVE-2025-40537), po drugi RCE z deserializacji (CVE-2025-40553) i dwa poważne obejścia uwierzytelniania (CVE-2025-40552, CVE-2025-40554). Badacze, którzy te problemy wykopali – Jimi Sebree (Horizon3.ai) i Piotr Bazydło (watchTowr) – dostali oficjalne uznanie i współpracowali z producentem nad łatami. [8][4]

Kontekst: nie pierwszy raz i nie ostatni

To kolejny odcinek serialu o WHD i łatkach, które ktoś próbuje obchodzić. Badacze wiążą CVE-2025-40551 z łańcuchem z 2024 r. (CVE-2024-28986 i kolejne obejścia). Innymi słowy: gra w cyfrowe whack-a-mole – poprawiasz jeden błąd, wyłazi drugi. W 2024 r. wcześniejsze luki w WHD trafiły do KEV i były szybko wykorzystywane po publikacji. Nic dziwnego, że CISA teraz nie czeka – dodaje 40551 do listy „znanych i wykorzystywanych”, nakazuje patch do 6 lutego i przypomina: nawet jeśli BOD 22-01 formalnie dotyczy tylko agencji federalnych, cała reszta organizacji też powinna przyspieszyć.

Fakty, dane, sygnały z pola

• CVE-2025-40551: deserializacja niezaufanych danych, RCE bez logowania, CVSS 9,8; dotyczy WHD 12.8.8 HF1 i wcześniejszych; naprawione w 2026.1. Bitsight ocenia techniczną powagę bardzo wysoko i wskazuje na wzmożone zainteresowanie w podziemiu po ujawnieniu – choć publicznego PoC dla 40551 nie zauważył. [6]
• HelpNetSecurity notuje, że pojawił się niezweryfikowany PoC dla CVE-2025-40554 (obejście uwierzytelniania), a skanowanie może wzrosnąć – zwłaszcza na systemach wystawionych do internetu. [6]
• CISA nie publikuje na razie szczegółów o wektorach wykorzystywania; to, że 40551 jest w KEV, wystarczy: ataki trwają.
• Termin dla agencji federalnych: 6 lutego 2026 r. na 40551; trzy pozostałe luki dodane do KEV (GitLab SSRF CVE-2021-39935 oraz dwa błędy w Sangoma FreePBX: CVE-2019-19006 i CVE-2025-64328) mają deadline 24 lutego. [1]

Jak to wpisuje się w szerszy trend

W ostatnich miesiącach widać przyspieszenie: od publikacji CVE do pierwszych exploitów mija coraz mniej czasu. KEV ma być batem na powolne poprawianie – lista żyje, daty są krótkie, wymówki się kończą. Do tego dochodzi „re-engineering patchy”: nowa wersja wychodzi we wtorek, a w piątek ktoś już rozumie, jak ją obejść. Sebree opisał, że rdzeń problemu w WHD dotyczy m.in. funkcjonalności AjaxProxy i mostków JSON-RPC, które w połączeniu tworzą niebezpieczne wektory.

Co to oznacza operacyjnie

Jeśli masz WHD poniżej 2026.1, to:

• aktualizujesz teraz, a nie „po weekendzie”,
• ograniczasz ekspozycję – jeżeli to jest internet-facing, schowaj to za VPN/WAF, przynajmniej tymczasowo,
• przeglądasz logi pod kątem wskaźników kompromitacji; badacze publikowali wskazówki, co może zostawiać ślad po udanym wykorzystaniu,
• sprawdzasz segmentację sieci – WHD często widzi dużo i ma uprawnienia, które ułatwiają ruch boczny,
• rotujesz poświadczenia i sprawdzasz, czy nie żyją gdzieś „klienckie” konta z uprawnieniami większymi niż trzeba.

Na marginesie: KEV to nie tylko SolarWinds

CISA dodała jednocześnie trzy inne luki: od starego, ale nadal groźnego obejścia uwierzytelniania w FreePBX, przez świeży command injection po zalogowaniu, po SSRF w GitLabie, które odnotowano w realnych nadużyciach w 2025 r. To przypomnienie, że atakujący kochają łatwe wejścia: panel VoIP, CI/CD, help desk – wszystko, co stoi na brzegu i przyjmuje żądania. [2]

Krótka interpretacja z dystansem

SolarWinds od dawna żyje pod lupą i, paradoksalnie, to dobra wiadomość dla użytkowników: reakcje są szybsze, łatki pojawiły się zanim fala uderzyła szeroko. Zła wiadomość? Dla napastników WHD to atrakcyjna brama – a RCE bez loginu to złoty klucz. Gra trwa i będzie trwać; pytanie brzmi, czy organizacje potraktują KEV jak listę „na kiedyś”, czy jak plan działania na dziś.

Podsumowanie

Jeśli używasz Web Help Desk – aktualizuj do 2026.1 i zamknij drzwi, zanim ktoś wejdzie bez pukania. KEV nie jest kroniką kryminalną, tylko checklistą naprawy. A piątek jako deadline to delikatna sugestia: zrób to przed weekendem, żeby w poniedziałek nie wyjaśniać, czemu help desk „pomógł” nie tej stronie, co trzeba.

FAQ

Kiedy agencje federalne muszą załatać CVE-2025-40551 w SolarWinds Web Help Desk?

Termin CISA to 6 lutego 2026 r. Dotyczy to agencji FCEB, ale wszystkie organizacje powinny traktować ten termin jako praktyczny deadline.

Czy CVE-2025-40551 w WHD wymaga logowania użytkownika, aby uzyskać RCE?

Nie, podatność można wykorzystać bez uwierzytelniania. To właśnie czyni ją wyjątkowo groźną dla systemów wystawionych do internetu.

Jaką wersję SolarWinds Web Help Desk należy zainstalować, aby usunąć lukę CVE-2025-40551?

Należy zaktualizować do WHD 2026.1. Wersje 12.8.8 HF1 i wcześniejsze są podatne.

Czy istnieje publiczny exploit dla CVE-2025-40551 lub powiązanych luk w WHD?

Dla 40551 publicznego PoC nie potwierdzono; dla 40554 pojawił się niezweryfikowany PoC. KEV oznacza jednak, że exploity są w użyciu, więc nie czekaj na GitHuba.

Dlaczego włączenie do KEV powinno mnie obchodzić, jeśli nie jestem agencją federalną?

Bo KEV potwierdza realne ataki, nie tylko teorie. To sygnał, że twoja ekspozycja rośnie z każdą godziną opóźnienia z łatką.

Źródła

• [1] https://thehackernews.com/2026/02/cisa-adds-actively-exploited-solarwinds.html
• [2] https://cisa.gov/news-events/alerts/2026/02/03/cisa-adds-four-known-exploited-vulnerabilities-catalog
• [3] https://therecord.media/cisa-orders-agencies-patch-solarwinds-vuln
• [4] https://cyberpress.org/solarwinds-bypass-vulnerabilities/
• [5] https://bitsight.com/blog/cve-2025-40551-solarwinds-critical-vulnerability
• [6] https://helpnetsecurity.com/2026/01/29/solarwinds-web-help-desk-rce-vulnerabilities/
• [7] https://arcticwolf.com/resources/blog/multiple-critical-authentication-bypass-remote-code-execution-vulnerabilities-fixed-in-solarwinds-web-help-desk/
• [8] https://thehackernews.com/2026/01/solarwinds-fixes-four-critical-web-help.html
• [9] https://cyberpress.org/solarwinds-web-help-desk-vulnerability-exposes-sensitive-data/