CISA schlägt Alarm: SolarWinds Web Help Desk
Remote-Code-Ausführung ohne Login – aktiv ausgenutzt
Eine Deserialisierungs-Schwachstelle erlaubt Angreifern, ohne Anmeldung beliebigen Code auf Helpdesk-Servern auszuführen. CISA listet die Lücke im KEV-Katalog, Ransomware-Gruppen sollen sie bereits für Initialzugriffe nutzen.
Auf einen Blick
Die US-Cybersicherheitsbehörde CISA hat zwei aktiv ausgenutzte Schwachstellen in SolarWinds Web Help Desk (WHD) in den Known Exploited Vulnerabilities-Katalog aufgenommen. Beide erlauben unter bestimmten Bedingungen Remote-Code-Ausführung ohne Login. Sicherheitsforscher beobachten bereits Kampagnen gegen ungepatchte Installationen – teils als Initialzugriff für Ransomware.
Was ist passiert?
Im Zentrum der Warnung stehen zwei Lücken in SolarWinds Web Help Desk – einer weit verbreiteten Ticketing- und Asset-Management-Lösung in Unternehmen und Behörden: CVE-2025-40551 und CVE-2025-26399. Beide ermöglichen unter bestimmten Umständen Remote-Code-Ausführung ohne Authentifizierung: Ein einziger manipulierter HTTP-Request reicht aus, um den Server zu übernehmen.
Die Aufnahme in den KEV-Katalog ist kein präventiver Hinweis. CISA listet eine Lücke erst dann, wenn reale Angriffe beobachtet wurden. US-Bundesbehörden wurden angewiesen, betroffene Systeme innerhalb kürzester Frist abzusichern oder vom Netz zu nehmen.
Vom HTTP-Request zur Code-Ausführung
Die Wurzel: unsichere Deserialisierung
Beide Schwachstellen wurzeln in einer klassischen Java-Deserialisierungs-Schwäche. Vereinfacht: Die Software nimmt vom Netzwerk ein serialisiertes Objekt entgegen und baut daraus Programmcode-Strukturen wieder zusammen – ohne zu prüfen, was sie da eigentlich zusammensetzt. Angreifer schicken ein vorbereitetes Datenpaket, das beim Auspacken eine Gadget-Chain aktiviert und beliebige Befehle als Service-Account ausführt.
„Der Server bekommt ein Paket, packt es aus – und führt automatisch alles aus, was darin liegt. Ohne zu fragen, wer das geschickt hat."
Genau diese Klasse Schwachstelle hat in den letzten Jahren ganze Branchen verwüstet – von Banken über Logistik bis hin zu öffentlichen Verwaltungen. Sie ist nicht neu. Sie ist nur immer wieder dort, wo sie nicht sein sollte.
Warum Helpdesks für Angreifer Gold sind
Helpdesk-Systeme wirken auf den ersten Blick wie reine Ticket-Werkzeuge. Tatsächlich sammeln sie genau die Daten, die ein Angreifer braucht, um in ein Unternehmen tief einzudringen:
Interne Tickets
Supportanfragen, Fehlermeldungen, sensible Kontextdaten zu Systemen und Prozessen.
Passworthinweise
Reset-Anfragen, temporäre Initialpasswörter, geteilte Credentials im Klartext.
Netzwerktopologie
Hostnamen, IPs, Subnetze, Standortinfos – eine fertige Landkarte fürs Lateral Movement.
Geräteinventare
Asset-Datenbanken inkl. Hersteller, Modelle und teils Firmware-Ständen – ideal für Exploit-Auswahl.
Mitarbeiterdaten
Namen, Rollen, E-Mail-Adressen, Vorgesetzten-Beziehungen – Treibstoff für gezieltes Phishing.
Hinzu kommt: WHD läuft typischerweise mit privilegierten Service-Accounts, integriert sich in Active Directory, Mailsysteme und Monitoring – und sieht damit weite Teile des internen Netzes. Ein einziger erfolgreicher Exploit kann genügen, um daraus eine Domain-weite Kompromittierung zu machen.
Was der WHD-Server überall hinkommt
Helpdesk-Server haben weite Sicht ins interne Netz – ein Compromise eskaliert in Stunden.
Brisant: CVE-2025-26399 ist ein Patch-Bypass
CVE-2025-26399 ist nicht einfach eine neue Lücke, sondern ein Patch-Bypass älterer SolarWinds-Schwachstellen. Übersetzt: Frühere Sicherheitsupdates hatten das eigentliche Problem nur an einer Stelle abgedichtet. Angreifer haben einen anderen Weg gefunden, auf denselben verwundbaren Code-Pfad zu kommen.
Wer in der Vergangenheit „nur" das Update eingespielt und die Architektur nicht gehärtet hat, ist heute wieder verwundbar. Patchen bleibt Pflicht – aber als einzige Maßnahme reicht es bei dieser Klasse Lücke nicht.
Sofortmaßnahmen für Administratoren
Sofort patchen
Aktuellstes SolarWinds-Sicherheitsupdate für WHD einspielen – heute, nicht im nächsten Wartungsfenster.
Internet-Exposition schließen
WHD niemals direkt aus dem Internet erreichbar machen. Zugriff nur via VPN oder Zero-Trust-Proxy.
WAF & Reverse Proxy
Vor das Web-Frontend gehört ein Reverse-Proxy mit Web Application Firewall und Rate-Limiting.
Log-Hunting
POST-Requests auf WHD-Endpoints, neue Admin-Accounts, ungewöhnliche Java-Prozesse und Outbound-Verbindungen prüfen.
Legacy-Stack auditieren
Java-Versionen, externe Libraries und Plugins inventarisieren – jede unbekannte Komponente ist ein potenzielles Gadget für Deserialisierungs-Exploits.
Notfall-Isolierung
Bei Verdacht: WHD-Host sofort segmentieren, Service-Accounts rotieren, Tier-0-Zugriffe sperren, Incident Response starten.
Detection: Worauf jetzt achten?
Wer WHD im Einsatz hat, sollte aktiv nach Spuren einer bereits erfolgten Kompromittierung suchen. Typische Hinweise:
Wer keine zentrale Log-Aggregation und kein EDR auf dem WHD-Host hat, sieht diese Spuren nicht – und merkt von einem Einbruch unter Umständen erst dann etwas, wenn die Ransomware-Note auf dem Desktop liegt.
Wasacon-Perspektive: Alte Enterprise-Software ist das eigentliche Risiko
Sicherheitsforscher weisen seit Jahren darauf hin, dass Teile von SolarWinds Web Help Desk auf sehr alten Java-Webtechnologien basieren. Genau dort entstehen Deserialisierungs-Lücken besonders leicht – und werden besonders schwer wartbar. Das Muster ist nicht WHD-spezifisch: kritische Infrastruktur, gewachsene Stacks, hohe Berechtigungen.
Genau wie bei der parallelen Lücke Palo Alto CVE-2026-0257 und dem Cisco-SD-WAN-Vorfall gilt: KEV-Einträge sind keine gewöhnlichen Sicherheitsmeldungen, sondern akute Warnsignale. Wer sie wie monatliche Patchnotes behandelt, hat verloren, bevor er gemerkt hat, dass das Spiel begonnen hat.
Mehr zu kritischen Enterprise-Lücken & Perimeter-Sicherheit
Aktuelle Wasacon-Analysen zu aktiv ausgenutzten CVEs und Perimeter-Risiken.
Wasacon in deiner Region
Wir prüfen und härten Helpdesk-, Ticket- und Verwaltungssysteme für Unternehmen im gesamten Kreis Heinsberg und der Region:
Häufige Fragen zur SolarWinds-Warnung
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Helpdesk-Server prüfen statt hoffen
Wir auditieren Ihre SolarWinds- und Ticket-Systeme, schließen die Internet-Exposition und richten EDR/XDR-Monitoring für Ihre administrativen Plattformen ein.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
