Mobile-Menu

RCE im Web Help Desk Solarwinds patcht zum dritten Mal kritische Sicherheitslücke

Von Melanie Staudacher 2 min Lesedauer

Solarwinds muss erneut nachbessern: Für eine kritische Sicherheitslücke im Web Help Desk liegt bereits der dritte Patch vor. Diese erlaubt Angreifern ohne Login die Ausführung von Schadcode.

Auf CVE-2024-28986 folgte CVE-2024-28988, folgte CVE-2025-26399: Der Solarwinds Web Help Desk ist aufgrund eines Deserialisierungsfehlers angreifbar und muss immer wieder gepatch werden.(Bild: Vadim - stock.adobe.com)
Auf CVE-2024-28986 folgte CVE-2024-28988, folgte CVE-2025-26399: Der Solarwinds Web Help Desk ist aufgrund eines Deserialisierungsfehlers angreifbar und muss immer wieder gepatch werden.
(Bild: Vadim - stock.adobe.com)

Bereits zum dritten Mal hat Solarwinds für eine Schwachstelle im Web Help Desk (WHD) ein Sicherheitsupdate veröffentlicht. Mit einem CVSS-Score von 9.8 ist die Sicherheitslücke CVE-2025-26399 kritisch und beschreibt einen Deserialisierungsfehler in der Ajaxproxy-Komponente. Im schlimmsten Fall könnten Cyberkriminelle ohne vorherige Authentifizierung Remote Code ausführen. Doch warum kriegt Solarwinds das Problem nicht unter Kontrolle?

Dritter Patch für CVE-2025-26399

Das Problem hinter der jüngst von der Zero Day Initiative entdeckten Sicherheitslücke ist kein neues. Denn bei der Schwachstelle CVE-2025-26399 handelt es sich um einen sogenannten „Patch Bypass“. Das bedeutet, dass Cyberkriminelle in der Lage waren, den Patch einer voran­ge­gang­enen Sicherheitslücke zu umgehen, womit eine neue Sicherheitslücke entstanden ist. Im Falle von Solarwinds gab es jedoch nicht nur eine vorangegangene Sicherheitslücke plus Patch, sondern zwei.

Ursprünglich ging es um die Sicherheitslücke CVE-2024-28986, die im August 2024 entdeckt und geschlossen wurde. Diese beschrieb das gleiche Problem wie CVE-2025-26399: ein De­seriali­sierungsfehler, der zu Remote Code Execution in Solar Winds Web Help Desk führen konnte. Nachdem Cyberangreifer einen Weg fanden, den Patch für CVE-2024-28986 zu umgehen, ist dadurch Anfang September 2025 die Schwachstelle CVE-2024-28988 (CVSS-Score 9.8) ent­standen. Grund war wieder die fehlerhafte Deserialisierung. So kam es vor einigen Tagen dazu, dass die nächste Sicherheitslücke, CVE-2025-26399 (CVSS-Score 9.8), gepatcht werden musste.

Während die ersten beiden Sicherheitslücken aktiv von Cyberangreifern ausgenutzt wurden, gebe es derzeit keine Hinweise auf eine aktive Ausnutzung von CVE-2025-26399, wie ein Solarwinds-Sprecher gegenüber „The Register“ sagte.

Wird der Patch dieses Mal halten?

Ob das Sicherheitsupdate für das Deserialisierungsproblem in der Ajaxproxy-Komponente dieses Mal ausreichen wird, um Cyberkriminelle zu stoppen, ist ungewiss. Während die Enisa mit einem EPSS-Score (Exploit Prediction Scoring System) von 0,16 Prozent die Wahr­schein­lichkeit einer Ausnutzung als recht gering einstuft, schreibt der Exposure-Management-Spezialist Watchtowr auf „X“, dass die Ausnutzung in freier Wildbahn sehr wahrscheinlich sei.

Betroffen von CVE-2025-26399 sind die WHD-Versionen bis einschließlich 12.8.7. Solarwinds empfiehlt, Web Help Desk 12.8.7 Hotfix 1 zu installieren. Dafür muss WHD allerdings zunächst gestoppt werden, was dazu führt, dass bestimmte Dateien gesichert und anschließend ersetzt werden.

(ID:50568892)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte