Kerngegevens
- Leverancier
- SolarWinds
- Product
- SolarWinds Web Help Desk
- Soort software
- remote beheer
- Getroffen versies
- SolarWinds Web Help Desk t/m 12.8.6, 12.8.7
- Oplossing
- Update beschikbaar
- Opgeloste versie
- SolarWinds Web Help Desk 12.8.7 Hotfix 1
- CVE gepubliceerd
- 23 september 2025
- Op de KEV-lijst sinds
- 9 maart 2026
- Gepubliceerd op LekkenRadar
- 12 oktober 2026
- Laatst gewijzigd bij NVD
- 11 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In SolarWinds Web Help Desk zit een kritiek lek in het onderdeel AjaxProxy. Een aanvaller die niet is ingelogd kan het misbruiken om zelf opdrachten uit te voeren op de server waarop het programma draait. Het lek omzeilt de oplossing van CVE-2024-28988, die op zijn beurt de oplossing van CVE-2024-28986 omzeilde. Het lek staat sinds maart 2026 op de lijst van actief misbruikte lekken en is volgens die lijst ook gebruikt bij ransomware-aanvallen.
Wie loopt risico?
Je loopt risico als je SolarWinds Web Help Desk gebruikt in een versie tot en met 12.8.6, of in versie 12.8.7. Het lek is via het netwerk te misbruiken zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Een Web Help Desk-server die bereikbaar is vanaf internet loopt daardoor het meeste risico.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van SolarWinds Web Help Desk je gebruikt. Versies tot en met 12.8.6 en versie 12.8.7 zijn getroffen.
Installeer de hotfix van de leverancier
De leverancier verwijst naar release notes voor 12.8.7 Hotfix 1. Lees het advies van SolarWinds en installeer de daarin genoemde hotfix of update.
Beperk de bereikbaarheid
Zorg dat Web Help Desk niet rechtstreeks vanaf internet bereikbaar is, zolang je de oplossing nog niet hebt geïnstalleerd.
Zoek naar tekenen van misbruik
Het lek wordt actief misbruikt. Controleer de server op verdachte activiteit, zoals onbekende processen, accounts of uitgaande verbindingen, en laat dit door je beveiligingsteam onderzoeken.
Stop het gebruik als maatregelen ontbreken
Volgens de KEV-lijst pas je de maatregelen van de leverancier toe. Zijn die niet beschikbaar, dan is het advies het product niet meer te gebruiken.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het AjaxProxy-onderdeel van SolarWinds Web Help Desk en is een deserialisatiefout (CWE-502). Onbetrouwbare gegevens worden gedeserialiseerd zonder dat de aanvaller hoeft te authenticeren, waardoor op afstand code kan worden uitgevoerd op de hostmachine. Het is een omzeiling van de eerdere oplossing voor CVE-2024-28988, die zelf een omzeiling was van de oplossing voor CVE-2024-28986. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat misbruik via het netwerk kan, met weinig complexiteit en zonder rechten of gebruikersinteractie. Dat leidt tot een score van 9,8 en de impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-502 · Deserialisatie van onbetrouwbare gegevens
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 89,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 9 maart 2026
- Deadline van CISA
- 12 maart 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA