Kritische Sicherheitslücken in Solarwinds Web Help Desk geschlossen

CVE-2025-40552 bis CVE-2025-40554 Solardwind schließt vier kritische Schwachstellen im Web Help Desk

05.02.2026 Von Melanie Staudacher 2 min Lesedauer

Sechs Schwachstellen im Solarwinds Web Help Desk wurden mit der Version 2026.1 geschlossen. Gleich vier davon haben einen kritischen CVSS-Score und ermöglichen unter anderem die Ausführung von Schadcode und die Umgehung von Authentifizierung.

Mit Detail über die sechs Sicherheitslücken in seiner Web-Help-Desk-Plattform hält sich Solarwinds zurück. Das Update 2026.1 löst die Probleme.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert) — Mit Detail über die sechs Sicherheitslücken in seiner Web-Help-Desk-Plattform hält sich Solarwinds zurück. Das Update 2026.1 löst die Probleme.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Gleich zwei kritische Sicherheitslücken in Solarwinds Web Help Desk bedrohen derzeit die Sicherheit von Kunden: EUVD-2025-206426^* / CVE-2025-40551 und EUVD-2025-206429 / CVE-2025-40552. Beide haben einen CVSS-Score von 9.8 und aktuell noch einen EPSS-Score von 0.00. Der Web Help Desk ist eine Asset- und Managemen-Plattform für Incident Response.

Auf CVE-2024-28986 folgte CVE-2024-28988, folgte CVE-2025-26399: Der Solarwinds Web Help Desk ist aufgrund eines Deserialisierungsfehlers angreifbar und muss immer wieder gepatch werden. (Bild: Vadim - stock.adobe.com)

RCE ohne Authentifizierung

EUVD-2025-206426 / CVE-2025-40551 entsteht durch unsachgemäße Datendeserialierung und kann zu Remote Code Execution (RCE) führen. Dadurch kann ein Angreifer Befehle auf dem Host-Rechner ausführen. Die Schwachstelle gilt unter anderem deshalb als kritisch, weil sie ohne erfolgreiche Authentifizierung ausgenutzt werden kann. Möglicherweise hängt dieser Umstand mit EUVD-2025-206429 / CVE-2025-40552 zusammen. Denn diese Sicherheitslücke ermöglicht die Umgehung der Authentifizierung. Weitere Informationen liefert Solarwinds nicht.

Beide Sicherheitslücken betreffen Web Help Desk 12.8.8 HF1 und frühere Versionen. Behoben werden die Sofwarefehler in Version 2026.1. In dieser Version werden neben EUVD-2025-206426 / CVE-2025-40551 und EUVD-2025-206429 / CVE-2025-40552 noch vier weitere Schwachstellen geschlossen:

EUVD-2025-206482 / CVE-2025-40553 erhielt dieselbe Beschreibung wie die Deserialisierungsschwachstelle EUVD-2025-206426 / CVE-2025-40551 und hat ebenfalls einen CVSS-Score von 9.8 und einen EPSS-Score von 0.00.

EUVD-2025-206480 / CVE-2025-40554 erhielt fast dieselbe Beschreibung wie Authentication-Bypass-Schwachstelle EUVD-2025-206429 / CVE-2025-40552 und ebenfalls einen CVSS-Score von 9.8 und einen EPSS-Score von 0.00.

EUVD-2025-206418 / CVE-2025-40536 ermöglicht es Angreifern, Sicherheitskontrollen zu umgehen. Bei erfolgreicher Ausnutzung kann ein nicht authentifizierter Akteur auf bestimmte eingeschränkte Funktionen zugreifen. Die Sicherheitslücke hat einen CVSS-Score von 8.1 und einen EPSS-Score von 0.00.

Bei EUVD-2025-206422 / CVE-2025-40537 handelt es sich um fest codierte Anmeldedaten, die je nach Berechtigung den Zugriff auf administrative Funktionen ermöglichen könnte. Die Schwachstelle hat einen CVSS-Score von 7.5 und derzeit einen EPSS-Score von 0.00.

Unternehmen, die den Web Help Desk von Solarwinds nutzen, sollten umgehend die neueste Version 2026.1 installieren.

Hinter den statischen Anmeldedaten, die Cisco im Code des Unified Communication Managers verbaut hat, vermuten viele eine beabsichtigte Backdoor. (Bild: Dall-E / KI-generiert)

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der entsprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50694883)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.