CVE-2025-40551criticalbajo ataqueCWE-502

CVE-2025-40551: fallo crítico en SolarWinds Web Help Desk

SolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution Vulnerability

Publicada el · Actualizada el

95Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 84%
de la publicación al arma0 días
Publicada en NVD28 ene
metasploit28 ene
CISA KEV+6d
probabilidad de explotación
84%top 1% de las CVE
explotación observada
síCISA + VulnCheck
Acción exigida por CISAplazo federal: 2026-02-06

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

SolarWinds Web Help Desk tiene una falla crítica que permite a atacantes ejecutar comandos en el servidor sin contraseña, explotando cómo el programa procesa datos no confiables.

Detalle técnico

La aplicación deserializa datos sin validación (CWE-502), permitiendo ejecución remota de código sin autenticación mediante objetos serializados manipulados. Un atacante puede explotar esta vulnerabilidad accesible por red para ejecutar comandos arbitrarios con los privilegios de la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

SolarWinds Web Help Desk was found to be susceptible to an untrusted data deserialization vulnerability that could lead to remote code execution, which would allow an attacker to run commands on the host machine. This could be exploited without authentication.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
SolarWinds · Web Help Desk
CVEs relacionadas — SolarWinds Web Help Desk

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-28987CRITICALSolarWinds Web Help Desk Hardcoded Credential VulnerabilityEPSS 93.3%KEVCVE-2025-26399CRITICALSolarWinds Web Help Desk Deserialization of Untrusted Data Privilege Escalation VulnerabilityEPSS 89.5%KEVCVE-2024-28986CRITICALSolarWinds Web Help Desk Java Deserialization Remote Code Execution VulnerabilityEPSS 84.6%KEVCVE-2025-40536HIGHSolarWinds Web Help Desk Security Control Bypass VulnerabilityEPSS 73.6%KEVCVE-2025-40553CRITICALSolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 68.0%CVE-2025-40554CRITICALSolarWinds Web Help Desk Authentication Bypass VulnerabilityEPSS 60.6%
Referencias
https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_2026-1_release_notes.htmhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-40551https://www.solarwinds.com/trust-center/security-advisories/CVE-2025-40551