Luka deserializacji w SolarWinds Web Help Desk pozwala przez sieć, bez hasła, uruchomić dowolne polecenia na serwerze. CISA potwierdza ataki i dała 3 dni na naprawę. Zaktualizuj do wersji 2026.1.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą zgłoszenia serwisowe w SolarWinds Web Help Desk na własnym serwerze. Werdykt: jeśli masz wersję 12.8.8 HF1 lub starszą, zaktualizuj do 2026.1 dziś, bo luka pozwala przejąć serwer bez logowania, atak da się zautomatyzować, a CISA potwierdza jej wykorzystywanie.
Amerykańska agencja CISA 3 lutego 2026 roku dopisała podatność CVE-2025-40551 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SolarWinds Web Help Desk, systemu zgłoszeń serwisowych instalowanego na serwerze firmy.
Program przyjmował od dowolnego nadawcy zapisane dane (tzw. obiekty serializowane) i odtwarzał je bez sprawdzenia. Spreparowana przesyłka pozwala napastnikowi, bez logowania i bez udziału pracownika, uruchamiać polecenia na serwerze. CISA wyznaczyła na naprawę tylko trzy dni. Aktualizacja do wersji 2026.1 zamyka jednocześnie sześć luk opisanych w komunikacie niemieckiego CERT-Bund.
Termin naprawy wyznaczony przez CISA minął 6 lutego 2026 roku, ponad siedem miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-40551 |
Data dodania do CISA KEV | 2026-02-03 |
Termin naprawy wg CISA | 2026-02-06 (3 dni od wpisu) |
Produkt | SolarWinds Web Help Desk (system zgłoszeń serwisowych) |
Wersje zagrożone | Web Help Desk 12.8.8 HF1 i wszystkie wcześniejsze (NVD: wszystkie wersje przed 2026.1) |
Wersje bezpieczne | Web Help Desk 2026.1 i nowsze |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, ocena producenta; NVD nie wystawił własnej). Atak przez sieć, niska złożoność, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie firmę, w której do każdej przychodzącej paczki dołączona jest karteczka z instrukcją, co zrobić z zawartością. Magazynier wykonuje karteczki bez sprawdzania nadawcy, bo „przecież paczki przychodzą od kontrahentów”. Wystarczy jedna przesyłka od obcego z karteczką „wydaj kurierowi zawartość sejfu”, żeby ta wygodna zasada obróciła się przeciwko firmie.
Tak działa ta luka. Programy zapisują złożone dane w postaci jednego ciągu znaków, żeby je przesłać, a potem odtwarzają je z powrotem. Taki zapis może zawierać nie tylko dane, ale też wskazówki, co zbudować. Web Help Desk odtwarzał przesyłki od kogokolwiek, więc napastnik mógł „zapakować” własne polecenia, a serwer je wykonywał.
💡 Serializacja i deserializacja to zapisanie danych programu w postaci ciągu znaków i odtworzenie ich z powrotem. Zdalne wykonanie kodu (RCE) to możliwość uruchamiania poleceń na cudzym serwerze przez sieć. Atak automatyzowalny to taki, który program może powtarzać na tysiącach serwerów bez udziału człowieka. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dane przychodzące do systemu zgłoszeń | Sprawdzane i traktowane jako dane | Odtwarzane bez sprawdzenia, mogą zawierać polecenia |
Kto może wydać polecenie serwerowi | Tylko administrator | Każdy, kto ma dostęp sieciowy do panelu |
Logowanie | Wymagane | Niepotrzebne do ataku |
Wielkość firmy a ryzyko | Mała firma rzadziej bywa celem | Automat atakuje każdy znaleziony serwer |
Dostęp z serwera zgłoszeń | Do bazy zgłoszeń i poczty powiadomień | Punkt wyjścia do całej sieci wewnętrznej |
źródło: Pexels, Kampus ProductionPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako możliwy do automatyzacji, a skutek techniczny jako całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie serwerów Web Help Desk | Lista celów niezależnie od wielkości firmy |
2. Przesyłka | T+1 min | Wysłanie spreparowanych danych serializowanych, bez logowania | Polecenia wykonane na serwerze |
3. Przyczółek | T+10 min | Instalacja narzędzia dającego stały dostęp | Kontrola nad serwerem zgłoszeń |
4. Kradzież poświadczeń | T+1 do 24 godz. | Odczyt haseł do bazy, konta pocztowego i integracji zapisanych w systemie | Klucze do innych systemów |
5. Ruch w sieci | T+1 do 7 dni | Przejście do serwera plików, kontrolera domeny, kopii zapasowych | Rozszerzony dostęp |
6. Skutek | T+1 do 4 tygodni | Kradzież danych lub szyfrowanie serwerów | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
System zgłoszeń wygląda na mało atrakcyjny cel, ale ma dostęp do sieci wewnętrznej, poczty i bazy z historią problemów IT. Wykonanie kodu na takim serwerze rzadko kończy się na nim.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera od zera, przestój działu IT i powiązanych systemów | Dni | 30 tys. do 300 tys. PLN |
Bezpieczeństwo danych | Wyciek historii zgłoszeń, haseł zapisanych w integracjach, danych pracowników | Godziny od ataku | 30 tys. do 200 tys. PLN (analiza, wymiana poświadczeń) |
Finansowy | Okup, zewnętrzni specjaliści, weryfikacja kopii zapasowych | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Web Help Desk 12.8.8 HF1 lub starszego
dostępnego z sieci
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko krytyczne, bo luka ma ocenę 9.8, nie wymaga logowania, daje pełną kontrolę nad serwerem, atak jest automatyzowalny, a EPSS szacuje szansę wykorzystania na około 84%.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Web Help Desk | Dziś | Administrator aplikacji |
2 | 🔴 NATYCHMIAST | Zaktualizować do wersji 2026.1 lub nowszej | Dziś | Administrator aplikacji / partner IT |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy panel jest osiągalny spoza sieci firmy; jeśli tak, do czasu aktualizacji odciąć dostęp z internetu | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć serwer pod kątem nieznanych procesów, plików i kont od stycznia 2026 roku | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła zapisane w Web Help Desk (baza danych, konto pocztowe, integracje) | Do 3 dni | Administrator aplikacji |
6 | 🟠 PILNIE | Jeśli znaleziono ślady: postawić serwer od nowa i zweryfikować, czy kopie zapasowe pochodzą sprzed włamania | Do 7 dni | CTO / zewnętrzny zespół reagowania |
7 | 🟡 WAŻNIE | Oddzielić serwer zgłoszeń od serwerów krytycznych (plików, domeny, kopii) | Do 30 dni | Administrator sieci |
SolarWinds wydał poprawkę w wersji 2026.1, więc docelowo trzeba ją zainstalować. CISA wskazuje, że gdy środków producenta nie da się zastosować, należy zaprzestać używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie dostępu do panelu z internetu, dostęp tylko przez VPN | Średnia do wysokiej: usuwa atak automatów z internetu, nie chroni przed napastnikiem w sieci | Średnia |
Czasowe wyłączenie Web Help Desk do aktualizacji (opcja CISA) | Wysoka | Łatwa, ale zgłoszenia trzeba zbierać inaczej |
Oddzielenie serwera od reszty sieci | Średnia: ogranicza skutki przejęcia | Średnia |
Monitorowanie procesów i ruchu wychodzącego z serwera | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przyjmowanie danych z sieci | Odtwarzane bez sprawdzenia | Poprawione w 2026.1 |
Dostęp do panelu | Możliwy z internetu | Tylko z sieci firmy lub przez VPN |
Liczba znanych luk w programie | Sześć numerów CVE z komunikatu CERT-Bund | Zamknięte jedną aktualizacją |
Hasła zapisane w systemie | Potencjalnie wykradzione | Zmienione |
Zgodność z terminem CISA | Zaległość od 6 lutego 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); atak automatyzowalny, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, producent) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,836 (percentyl 0,997, stabilnie od sierpnia 2026 wg analizy źródłowej) |
Powiązane luki | Komunikat CERT-Bund z 28 stycznia 2026 obejmuje sześć CVE w Web Help Desk, zamkniętych wersją 2026.1 |
Inne rejestry | Europejska baza ENISA: EUVD-2025-206426 |
Sygnały zagrożenia dla CVE-2025-40551
CVSS 3.1 (producent) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (wg źródła) ~84% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-01-28 Publikacja CVE-2025-40551, komunikat CERT-Bund o 6 lukach
2026-02-03 CISA dodaje lukę do katalogu KEV
2026-02-04 CISA ocenia: aktywne wykorzystanie, automatyzowalne
2026-02-06 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: solarwinds.com/trust-center/security-advisories/cve-2025-40551 . Informacje o wersji 2026.1: Web Help Desk 2026.1 release notes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-40551 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub dostawca IT) używa SolarWinds Web Help Desk | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i czy panel jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację do 2026.1 lub czasowe wyłączenie systemu | CTO | DZISIAJ |
4 | Zlecić przegląd serwera pod kątem śladów włamania i wymianę zapisanych haseł | CTO | DO JUTRA |
5 | Zarezerwować budżet na ewentualną odbudowę serwera i analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić, czy kopie zapasowe są odseparowane i zweryfikowane | CTO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Web Help Desk działa u nas? | [wersja] | 🔴 |
2 | Kiedy zainstalowano wersję 2026.1? | [data] | 🔴 |
3 | Czy panel Web Help Desk jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy na serwerze znaleziono nieznane procesy, pliki lub konta od stycznia 2026 roku? | TAK / NIE | 🟠 |
5 | Czy zmieniono hasła do bazy, poczty i integracji zapisane w systemie? | TAK / NIE | 🟠 |
6 | Czy serwer zgłoszeń jest w tej samej sieci co kontroler domeny i kopie zapasowe? | TAK / NIE | 🟡 |
7 | Kto śledzi komunikaty bezpieczeństwa SolarWinds? | [osoba] | 🟡 |
CVE-2025-40551 pozwala przejąć serwer SolarWinds Web Help Desk jedną spreparowaną przesyłką danych, bez logowania i bez udziału pracownika. Atak jest automatyzowalny, CISA potwierdza wykorzystanie, a termin naprawy minął w lutym 2026 roku. Aktualizacja do wersji 2026.1 zamyka tę i pięć innych luk, a przegląd serwera pokaże, czy ktoś zdążył z niej skorzystać.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.