KritischCVE-2025-26399

    SolarWinds Web Help Desk: Deserialisierung nicht vertrauenswürdiger Daten (CVE-2025-26399)

    Veröffentlicht Zuletzt geändert In CISA KEV seit Quellen: pwn.watch, CVE.org, CERT-EU

    Was ist betroffen, was ist zu tun

    Die Schwachstelle CVE-2025-26399 ermöglicht es einem Angreifer, über eine unauthentifizierte Remote-Code-Ausführung (RCE) auf SolarWinds Web Help Desk vollständige Kontrolle über den Host zu erlangen. Sie wird aktiv in Ransomware-Kampagnen ausgenutzt und ist im CISA KEV-Katalog gelistet. Betroffen sind alle Versionen, die nicht das spezifische Patch für CVE-2024-28988 und ursprünglich CVE-2024-28986 angewendet haben. Ein sofortiges Update auf die neueste Version ist dringend erforderlich, um die Sicherheitslücke zu schließen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • SolarWinds Web Help Desk eq 12.8.7 and below..12.8.7 and below

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    9,8

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    9,8

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: pwn.watch, CVE.org, CERT-EU

    90,1 %

    EPSS-Score

    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.

    Quelle: FIRST EPSS, Perzentil 99,79

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    264.77 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab) So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    9,8 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    9,8
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    90,1 %
    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,79
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-502

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Diese Schwachstelle ist der dritte Patch-Bypass einer Deserialisierungslücke in WHD und wird laut CISA aktiv in Ransomware-Kampagnen genutzt — ein deutliches Signal, dass automatisierte Exploit-Chains existieren. Der Angriffsvektor ist über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion erreichbar; Erfolg bedeutet unmittelbare Code-Ausführung mit den Rechten des WHD-Dienstkontos, oft gefolgt von Lateral Movement in die Ticket- und Asset-Datenbank. Internet-exponierte WHD-Instanzen bei MSPs, IT-Service-Providern und KRITIS-nahen Help-Desks sind das typische Zielprofil. Für betroffene Organisationen gehört CVE-2025-26399 damit in die oberste Patch-Priorität (P0) innerhalb der aktuellen Woche; nicht patchbare Instanzen gehören bis zum Fix hinter einen authentifizierenden Reverse-Proxy oder vom Netz.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • SolarWinds Web Help Desk (WHD) auf Version 12.8.7 Hotfix 1 oder neuer aktualisieren — dies ist der aktuelle Fix gegen den AjaxProxy-Deserialisierungspfad; Versionen inklusive 12.8.6 sind verwundbar. Hotfix-Paket aus dem SolarWinds Customer Portal ziehen und gemäß Vendor-Advisory einspielen (Backup der whd-Datenbank und whd/conf-Verzeichnis vorher).
      • Falls Patch nicht sofort einspielbar: WHD-Instanz vom Internet trennen. Reverse-Proxy / Load-Balancer / Firewall-Regel so setzen, dass die Management-URLs (TCP 8081/8443 bzw. der konfigurierte Listener) nur noch aus dem internen Admin-VLAN erreichbar sind.
      • URL-Pfad /helpdesk/WebObjects/Helpdesk.woa/ws/AjaxProxy sowie generische /AjaxProxy-Routen am vorgelagerten Reverse-Proxy / WAF hart blockieren (HTTP 403), bis der Hotfix verifiziert aktiv ist. Dieser Endpoint ist der Angriffsvektor und wird im Normalbetrieb nicht von externen Nutzern benötigt.
      • Kompromittierungsprüfung durchführen: whd/logs/whd.log, whd/logs/catalina.out und Betriebssystem-Prozessbaum auf unerwartete Child-Prozesse des Tomcat/WHD-Service (java.exe → cmd.exe/powershell.exe bzw. java → /bin/sh) prüfen, Zeitraum ab Juli 2024 (Historie der Vorgänger-CVEs CVE-2024-28986 / CVE-2024-28988).
      • Service-Account des WHD-Prozesses sowie LDAP/AD-Integrations-Credentials und API-Tokens rotieren, falls Indikatoren vorliegen oder die Instanz exponiert war. Datenbank-Credentials (PostgreSQL/MSSQL hinter WHD) ebenfalls prüfen.
      • Incident-Ticket mit erhöhter Priorität anlegen (KEV + ransomware-use Flag) und IR-Bereitschaft informieren.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung: WHD gehört in ein Management-Segment; eingehend ausschließlich 443 vom definierten Benutzer-VLAN, kein direkter Internet-Ingress. VPN- oder ZTNA-Vorschaltung für externe Techniker verpflichtend.
      • Egress-Filter auf dem WHD-Host: ausgehende Verbindungen auf das notwendige Minimum (SMTP-Relay, LDAP, DB, SolarWinds-Update-Endpoint) begrenzen. Besonders ausgehendes HTTP(S), DNS zu nicht autorisierten Resolvern, LDAP/SMB in andere Segmente blockieren — unterbindet Second-Stage-Download und C2.
      • WAF-Regel: POST-/PUT-Requests auf AjaxProxy-Pfade, die serialisierte Java-Objekte signalisieren (Magic Bytes ac ed 00 05, Base64-Varianten rO0AB, oder Content-Type application/x-java-serialized-object), blocken und alarmieren.
      • Endpoint-Hardening: Tomcat-/WHD-Service unter einem dedizierten, unprivilegierten Konto betreiben (nicht SYSTEM / nicht root). AppLocker / WDAC bzw. SELinux-Policy so, dass der Java-Prozess keine Shells, keine Skript-Interpreter und keine LOLBins (certutil, bitsadmin, mshta, curl, wget) starten darf.
      • IAM: Lokale WHD-Admin-Accounts auf MFA / starke Passphrasen prüfen, Default-Credentials ausschließen. LDAP-Service-Account mit minimalen Lese-Rechten.
      • Backup & Recovery: aktuelle Offline-Kopie der WHD-Konfiguration und -Datenbank sicherstellen (ransomware-flag), Restore-Pfad testen.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Process-Ancestry EDR / Sysmon EID 1: ParentImage endet auf java.exe oder tomcat*.exe und Image ∈ (cmd.exe, powershell.exe, wscript.exe, cscript.exe, rundll32.exe, mshta.exe, bitsadmin.exe, certutil.exe) — hoher Fidelity-Indikator für Deserialisierungs-RCE. Linux-Äquivalent via auditd: execve mit ppid eines Java-/Tomcat-Prozesses und comm ∈ (sh, bash, nc, curl, wget, python).
      • Webserver-Access-Logs (Tomcat localhost_access_log): POST auf URI-Mustern *AjaxProxy* mit ungewöhnlich großem Request-Body (> 2 KB) oder User-Agent-Anomalien. KQL-Shape: W3CIISLog | where csUriStem contains "AjaxProxy" and csMethod == "POST" and scStatus in (200,500) and csBytes > 2000.
      • Netzwerk-Telemetrie (Zeek/Suricata): HTTP-POST mit Payload, der die ysoserial-typischen Klassen-Strings enthält (CommonsCollections, BeanComparator, TemplatesImpl, Runtime.exec). Suricata-Regel-Shape: alert http any any -> $WHD_SERVERS any (msg:"WHD AjaxProxy Java deser"; content:"AjaxProxy"; http_uri; content:"|ac ed 00 05|"; http_client_body; sid:1000026399;).
      • Sysmon EID 11 / 15 oder auditd path: neue Dateien im WHD-Webroot (whd/bin/webapps/, whd/conf/) oder im Tomcat-work-Verzeichnis mit Extensions .jsp, .war, .class außerhalb geplanter Deployment-Fenster.
      • SIEM-Korrelation: HTTP-5xx-Spike auf WHD-Endpoint gefolgt von ausgehender Verbindung des Java-Prozesses zu nicht gelisteten Zielen oder DNS-Lookups mit hoher Entropie innerhalb von 60 s.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    SolarWinds Web Help Desk wurde als anfällig für eine unauthentifizierte AjaxProxy Deserialisierungs Remote Code Execution Schwachstelle identifiziert, die bei Ausnutzung es einem Angreifer ermöglichen würde, Befehle auf dem Hostsystem auszuführen. Diese Schwachstelle ist ein Patch-Bypass von CVE-2024-28988, welcher wiederum ein Patch-Bypass von CVE-2024-28986 ist.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: pwn.watch, NVD (NIST), CISA KEV Catalog, cvelistv5, CVE.org (MITRE), certeu_advisory

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    SolarWindsWeb Help Desk
    • 12.8.7 and below
    • —
    solarwindsweb_help_desk
    • 12.8.7
    • ≤ 12.8.6
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-502Deserialization of Untrusted Data

      Base

      The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

      Eintrag bei MITRE CWE-502

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt

    Quellen & Referenzen

    • solarwinds.comSolarWinds Web Help Desk — CVE-2025-26399pwn-watch
    • documentation.solarwinds.comen/success_center/whd/content/release_notes/whd_12-8-7-hotfix-1…
    • microsoft.comen-us/security/blog/2026/02/06/active-exploitation-solarwinds-w…Hinweis Dritter
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-26399government-resource
    • pwn.watchpwn.watch: SolarWinds Web Help Desk: SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerabilitypwn-watch
    • NVD (NIST)NVD: CVE-2025-26399pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

    Änderungen an der CVE

    Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

    Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2025-26399
    <a href="https://intel.neosec.eu/cve/CVE-2025-26399"><img src="https://intel.neosec.eu/badge/cve/CVE-2025-26399.svg" alt="CVE-2025-26399 – NEOSEC Intel" height="20"></a>