SolarWinds Web Help Desk Security Control Bypass Vulnerability

Falha de bypass de controle de segurança no SolarWinds Web Help Desk (WHD) que permite a um atacante não autenticado acessar funcionalidade que deveria estar restrita. CVSS 8.1, mas o vetor AC:High indica que a exploração não é trivial apesar de não exigir autenticação. Está no catálogo KEV da CISA com exploração confirmada, mas o advisory do fornecedor não detalha qual funcionalidade é exposta nem o mecanismo exato do bypass — a página da CISA classifica como CWE-693 (Protection Mechanism Failure), categoria genérica.

O advisório da SolarWinds e a entrada da CISA descrevem a falha apenas em termos funcionais: um controle de segurança que deveria bloquear acesso a certas rotinas do WHD pode ser contornado por um atacante sem credenciais, permitindo alcançar 'funcionalidade restrita'. Não há divulgação pública, nas fontes consultadas, de qual endpoint, classe Java ou verificação de autorização especificamente falha — nem o fornecedor nem a CISA publicaram detalhe de código ou fluxo de requisição.

O CWE atribuído (CWE-693) é uma categoria ampla que cobre qualquer mecanismo de proteção implementado de forma insuficiente (checagem de permissão ausente, incompleta ou bypassável por manipulação de parâmetro/rota). Isso é consistente com o padrão de falhas encontradas na mesma rodada de auditoria: a WHD 2026.1 corrigiu, na mesma release, seis CVEs distintas — duas de deserialização levando a RCE (CVE-2025-40551, CVE-2025-40553), duas de bypass de autenticação (CVE-2025-40552, CVE-2025-40554), uma de credenciais hardcoded (CVE-2025-40537) e esta de bypass de controle de segurança — todas reportadas por pesquisadores de duas empresas diferentes (Horizon3.ai e watchTowr), sugerindo uma revisão sistemática da camada de autorização e serialização do WHD.

O CVSS reportado pela SolarWinds usa a versão 3.0 do vetor (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), enquanto o dado de referência usado aqui cita 3.1 com o mesmo string — a métrica é a mesma nos dois casos. O componente AC:H (complexidade de ataque alta) é a peça mais relevante para quem for priorizar: nem toda exploração não autenticada é trivial, e aqui o fornecedor sinaliza que há pré-condições ou uma sequência não banal para acionar o bypass, mesmo sem detalhar quais.

A CISA incluiu CVE-2025-40536 no catálogo KEV em 12/02/2026 com prazo de correção de apenas três dias (15/02/2026) — janela bem mais curta que o padrão de 21 dias usado para a maioria das entradas, o que indica avaliação de risco elevado pela agência, provavelmente por já haver exploração ativa e ferramental público (Metasploit, template Nuclei e PoC) disponível para o bypass.

É importante separar o que se sabe sobre esta CVE especificamente do que está documentado sobre a campanha de exploração de instâncias WHD em geral. O writeup técnico da Huntress com detalhes de comprometimento em ambientes reais (deploy de Zoho ManageEngine RMM, Velociraptor como C2, Cloudflared para túnel) documenta explicitamente a exploração de CVE-2025-26399 e CVE-2025-40551 — ambas falhas de deserialização/RCE — não desta CVE-2025-40536. Isso não significa que 40536 não seja explorada (a CISA confirma que é), mas os detalhes técnicos publicamente disponíveis sobre o mecanismo de ataque em ambiente real pertencem a outras CVEs do mesmo lote.

O padrão observado em instâncias WHD comprometidas é o de ataques em cadeia: várias falhas expostas na mesma superfície (Tomcat/Java, sem autenticação, acessível pela rede) são usadas de forma combinada — um bypass de controle pode servir para alcançar um endpoint que, isolado, estaria protegido, e esse endpoint pode então ser usado como ponto de entrada para deserialização e RCE. Pré-requisito real de exploração: a instância WHD precisa estar acessível pela rede ao atacante (AV:N) — instâncias expostas diretamente à internet são o cenário de maior risco; instâncias atrás de segmentação/VPN reduzem drasticamente a superfície.

A correção definitiva é atualizar para SolarWinds Web Help Desk 2026.1, que corrige esta CVE junto com as outras cinco divulgadas na mesma release (incluindo duas RCEs críticas e dois bypasses de autenticação). Como várias dessas falhas compõem uma cadeia de exploração observada em ataques reais contra WHD, atualizar isoladamente para mitigar apenas esta CVE não é suficiente — o ambiente continua exposto às demais até a atualização completa.

Nenhuma das fontes consultadas (fornecedor, CISA, Huntress) publica um paliativo de configuração ou workaround para quem não pode atualizar imediatamente. A ação recomendada pela CISA nesses casos é aplicar a mitigação do fornecedor ou, na ausência de mitigação viável, descontinuar o uso do produto — não há uma flag ou parâmetro documentado que neutralize o bypass sem a atualização.

Como controle compensatório real (não substitui o patch): restringir o acesso de rede à interface WHD apenas a hosts confiáveis/VPN, já que a exploração depende de alcance de rede (AV:N) e nenhuma das falhas dessa família exige acesso local. Monitorar o processo Java/Tomcat do WHD por comportamento anômalo (spawn de cmd.exe, powershell.exe, msiexec.exe) também reduz o tempo de detecção pós-comprometimento, mas não impede a exploração inicial.

Não há assinatura de log ou tráfego publicada pelo fornecedor ou pela CISA especificamente para o bypass de CVE-2025-40536 — o CWE-693 é genérico demais para derivar um indicador de rede confiável sem o detalhe do endpoint afetado. A versão instalada pode ser verificada no arquivo local do WHD (caminho documentado pela Huntress para o Windows: C:\Program Files\WebHelpDesk\version.txt).

Como indicador indireto de comprometimento pós-exploração em ambientes WHD (observado em campanhas contra CVEs relacionadas do mesmo lote, não confirmadamente desta CVE): processos filhos inesperados gerados pelo processo de serviço do WHD (wrapper.exe → java.exe → cmd.exe/msiexec.exe/powershell.exe), instalação silenciosa de MSI a partir de URLs externas (serviços de hospedagem de arquivos, buckets de storage), e tráfego de saída para agentes de RMM/ferramentas de acesso remoto não autorizadas pela organização.