Błąd w SolarWinds Web Help Desk 12.8.8 HF1 i starszych pozwala osobie bez konta wejść do zastrzeżonych funkcji. CISA potwierdza ataki i dała 3 dni na naprawę. Zaktualizuj do 2026.1 dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą zgłoszenia serwisowe w SolarWinds Web Help Desk na własnym serwerze. Werdykt: jeśli masz wersję 12.8.8 HF1 lub starszą, zaktualizuj do 2026.1 dziś i zamknij dostęp do panelu z internetu, bo luka pozwala obcej osobie bez konta wejść do zastrzeżonych funkcji i jest wykorzystywana w atakach.
Amerykańska agencja CISA 12 lutego 2026 roku dopisała CVE-2025-40536 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SolarWinds Web Help Desk, systemu do prowadzenia zgłoszeń serwisowych. Mechanizm ochronny nie działał na wszystkich drogach, więc osoba bez konta mogła dostać się do części funkcji objętych ograniczeniami.
CISA dała agencjom federalnym tylko trzy dni na naprawę, do 15 lutego 2026 roku, podczas gdy inne pozycje dodane tego dnia dostały standardowe 21 dni. To sygnał, że sprawę oceniono jako szczególnie pilną. Ten sam program ma też drugą lukę z katalogu KEV, CVE-2025-26399, oznaczoną jako używana w kampaniach ransomware.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-40536 |
Data dodania do CISA KEV | 2026-02-12 |
Termin naprawy wg CISA | 2026-02-15 (3 dni od wpisu) |
Produkt | SolarWinds Web Help Desk (WHD), instalacja na własnym serwerze |
Wersje zagrożone | Web Help Desk 12.8.8 HF1 i wszystkie wcześniejsze wersje. Warunek ataku: dostęp sieciowy do interfejsu programu |
Wersje bezpieczne | Web Help Desk 2026.1 (wydana 28 stycznia 2026 roku) i nowsze. Numeracja zmieniła się z 12.8 na oznaczenia rocznikowe, to ten sam produkt |
Typ podatności | Obejście kontroli bezpieczeństwa, dostęp bez uwierzytelnienia do zastrzeżonych funkcji; CWE-693 (Protection Mechanism Failure) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA; niska złożoność ataku). Producent: 8.1 (CVSS 3.x, WYSOKA; wysoka złożoność ataku). Obie oceny: atak przez sieć, bez konta, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Różnica między 8.1 a 9.8 wynika z jednej pozycji: złożoności ataku. Producent zakłada, że muszą zajść dodatkowe okoliczności, NVD uważa, że nie są potrzebne. W raporcie ze skanera ta różnica przesuwa lukę z połowy listy na jej szczyt.
Wyobraź sobie przychodnię z rejestracją przy wejściu głównym i bocznymi drzwiami na dostawy. Rejestracja pyta każdego o skierowanie, a boczne drzwi nie pytają nikogo, bo założono, że korzystają z nich tylko kurierzy. Kontrola istnieje, jest opisana w procedurze i działa, tyle że nie na wszystkich drogach do środka.
Tak działała ta luka. Nikt nie zgaduje hasła ani nie podszywa się pod cudze konto. Zabezpieczenie po prostu nie zadziałało na jednej z dróg, więc ktoś z zewnątrz trafiał do funkcji, które miały być zastrzeżone. A w systemie zgłoszeń leży dużo: dane pracowników, zrzuty ekranu, historia resetów haseł, spis sprzętu i korespondencja z klientami.
💡 System zgłoszeń (help desk) to program, w którym pracownicy i klienci zgłaszają problemy, a serwis je obsługuje. Uwierzytelnienie to sprawdzenie, kim jest użytkownik, zwykle przez login i hasło. Obejście kontroli bezpieczeństwa oznacza, że zabezpieczenie istnieje, ale da się je ominąć. CVSS to skala od 0 do 10 opisująca techniczną wagę luki.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera panel z internetu | Widzi ekran logowania i nic więcej | Może dostać się do części zastrzeżonych funkcji bez konta |
Załączniki w zgłoszeniach | Dostępne tylko dla serwisu i zgłaszającego | Mogą trafić w ręce osoby z zewnątrz |
Hasła resetowane przez help desk | Historia widoczna dla uprawnionych | Możliwy wgląd w informacje ułatwiające dalsze ataki |
Ślad w systemie | Każde wejście przypisane do konta | Trudno ustalić, co ktoś przeczytał |
Kolejność napraw w raporcie skanera | Pozycja wg oceny 8.1 | Pozycja krytyczna wg oceny 9.8 i terminu CISA 3 dni |
źródło: Pexels, Andrea PiacquadioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo szczegóły techniczne nie zostały opisane w komunikacie producenta. Atak wymaga tylko dostępu sieciowego do panelu, bez konta i bez udziału pracownika. CISA ocenia, że nie da się go w pełni zautomatyzować, co oznacza ręczną pracę przy wybranych celach, a nie masowe skanowanie z automatycznym przejęciem.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie w internecie paneli Web Help Desk i ustalenie wersji | Lista podatnych instalacji |
2. Obejście kontroli | T+kilkadziesiąt minut | Dostęp do zastrzeżonych funkcji bez logowania | Wgląd w dane i funkcje systemu zgłoszeń |
3. Zbieranie informacji | T+kilka godzin | Przegląd zgłoszeń, załączników, danych pracowników i sprzętu | Materiał do dalszych ataków (hasła, nazwiska, adresy) |
4. Łączenie z innymi lukami | T+1 do 3 dni | Próba użycia kolejnych błędów WHD, np. do wykonania kodu na serwerze | Możliwe przejęcie serwera |
5. Dalsze działania | T+dni do tygodni | Ataki na konta pracowników, podszywanie się pod serwis, ruch w sieci | Wyciek danych, przejęte konta |
Mogę Ci jakoś pomóc?
System zgłoszeń wygląda na narzędzie pomocnicze, ale zbiera wiedzę o całej firmie: kto pracuje, na jakim sprzęcie, jakie ma problemy z dostępem i z kim koresponduje. Nawet bez przejęcia serwera wgląd w te dane daje napastnikowi świetny materiał do podszywania się pod dział IT.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie systemu zgłoszeń na czas analizy, przegląd historii sprawa po sprawie | Dni | 10 tys. do 80 tys. PLN (przestój, praca zespołu) |
Bezpieczeństwo danych | Wyciek danych pracowników, klientów i załączników | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Koszty specjalistów, ewentualne straty po atakach na przejęte konta | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Zawiadomienia do klientów, których dane były w załącznikach | Miesiące | 20 tys. do 250 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Web Help Desk 12.8.8 HF1 lub starszego
dostępnego z internetu
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (potwierdzone ataki, EPSS około 72%, termin CISA 3 dni), a wpływ wysoki, choć nie maksymalny, bo opis mówi o dostępie do „części” zastrzeżonych funkcji; panel niedostępny z internetu obniża ryzyko wyraźnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Web Help Desk: podatne są 12.8.8 HF1 i starsze | Dziś | Administrator aplikacji |
2 | 🔴 NATYCHMIAST | Zaktualizować do wersji 2026.1 lub nowszej | Dziś | Administrator aplikacji |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: zamknąć dostęp do panelu z internetu (tylko sieć firmowa lub VPN) | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć logi serwera WHD od stycznia 2026 roku pod kątem nietypowych wejść bez logowania | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, czy serwer ma poprawkę na drugą lukę z katalogu KEV, CVE-2025-26399 | Do 3 dni | Administrator aplikacji |
6 | 🟠 PILNIE | Zmienić hasła kont technicznych i integracji, które przechodziły przez system | Do 7 dni | Administrator aplikacji |
7 | 🟡 WAŻNIE | Ograniczyć ilość wrażliwych załączników przechowywanych w zgłoszeniach | Do 30 dni | Kierownik serwisu |
Producent wydał poprawioną wersję 2026.1, więc docelowo trzeba ją wdrożyć. Do czasu okna serwisowego pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zamknięcie dostępu do panelu z internetu (tylko sieć firmowa lub VPN) | Wysoka: atak wymaga dostępu sieciowego do interfejsu | Średnia: klienci zewnętrzni mogą stracić dostęp |
Ograniczenie dostępu do listy zaufanych adresów IP | Wysoka dla napastników spoza listy | Średnia |
Czasowe wyłączenie portalu dla klientów zewnętrznych | Średnia do wysokiej | Łatwa, ale utrudnia obsługę klientów |
Codzienny przegląd logów dostępu do WHD | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja programu | 12.8.8 HF1 lub starsza | 2026.1 lub nowsza |
Dostęp do panelu | Z całego internetu | Tylko z sieci firmowej, VPN lub zaufanych adresów |
Kontrola dostępu | Do obejścia bez konta | Działa na wszystkich drogach |
Wiedza o incydencie | Brak przeglądu logów | Przejrzane logi i decyzja o dalszych krokach |
Druga luka CVE-2025-26399 | Stan nieznany | Potwierdzona poprawka |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Europejska baza EUVD (EUVD-2025-206418) podaje 12 lutego 2026 roku jako początek potwierdzonego wykorzystania |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) dla tej luki; druga luka tego programu, CVE-2025-26399, ma w KEV oznaczenie Known |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 8.1 WYSOKA wg producenta |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Jimi Sebree we współpracy z Horizon3.ai (wg producenta) |
Ocena CISA | Wykorzystanie aktywne, skutek techniczny całkowity, atak nieautomatyzowalny |
Prognoza EPSS | Około 72% szansy prób wykorzystania w 30 dni, górny 1% podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-40536
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS (producent) 8.1/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~72% ██████████████░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 3 dni ████████████████████ tryb pilny
Mogę Ci jakoś pomóc?
2025-04-16 Rezerwacja numeru CVE
2026-01-28 SolarWinds publikuje komunikat i wersję 2026.1 z poprawką
2026-01-28 Publikacja CVE; niemiecki BSI ostrzega przed wieloma lukami WHD
2026-02-12 CISA dodaje lukę do katalogu KEV
2026-02-15 Termin naprawy wg CISA (3 dni)
2026-03-09 CISA dodaje do KEV drugą lukę WHD, CVE-2025-26399 (ransomware)
2026-06-17 Ostatnia aktualizacja wpisu w NVD (ocena 9.8)
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: solarwinds.com/trust-center/security-advisories/CVE-2025-40536 . Informacje o wersji z poprawką: WHD 2026.1 release notes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-40536 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej dostawca używa SolarWinds Web Help Desk | CTO | DZISIAJ |
2 | Uzyskać numer wersji i informację, czy panel jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację do 2026.1 lub natychmiastowe zamknięcie dostępu z internetu | CTO | DZISIAJ |
4 | Zlecić przegląd logów od stycznia 2026 roku | CTO | DO JUTRA |
5 | Ustalić, czy w załącznikach zgłoszeń są dane osobowe klientów | CFO / inspektor danych | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli logi coś wykażą | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Web Help Desk działa na naszym serwerze? | [wersja] | 🔴 |
2 | Czy panel WHD jest dostępny z internetu bez VPN? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowano WHD do wersji 2026.1? | [data] | 🔴 |
4 | Czy mamy poprawkę na CVE-2025-26399 w tym samym programie? | TAK / NIE | 🟠 |
5 | Czy logi dostępu do WHD od stycznia 2026 roku zostały przejrzane? | TAK / NIE | 🟠 |
6 | Czy w zgłoszeniach przechowujemy hasła lub dane osobowe klientów? | TAK / NIE | 🟠 |
7 | Kto u nas śledzi komunikaty bezpieczeństwa SolarWinds? | [osoba] | 🟡 |
CVE-2025-40536 pozwala osobie bez konta wejść do zastrzeżonych funkcji SolarWinds Web Help Desk w wersji 12.8.8 HF1 i starszych. CISA potwierdza ataki i dała na naprawę tylko 3 dni, więc aktualizacja do 2026.1 i zamknięcie panelu przed internetem to zadania na dziś, a przegląd logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.