Suivi KEV › SolarWinds

CVE-2025-40551 SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 février 2026.

  • Produit : SolarWinds Web Help Desk
  • Ajoutée au catalogue : 3 février 2026
  • Échéance CISA : 6 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 84 %

SolarWinds Web Help Desk contient une vulnérabilité de désérialisation de données non fiables qui pourrait entraîner une exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur la machine hôte. Ceci pourrait être exploité sans authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · solarwinds.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 84,2 %, parmi les 0,3 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • web help desk : versions < 2026.1

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Désérialisation de données non fiables (CWE-502) : Le produit désérialise des données non fiables sans garantir suffisamment que les données résultantes seront valides.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability

SolarWinds Web Help Desk contains a deserialization of untrusted data vulnerability that could lead to remote code execution, which would allow an attacker to run commands on the host machine. This could be exploited without authentication.

Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de SolarWinds Web Help Desk

  • CVE-2025-26399 — SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables (9 mars 2026)
  • CVE-2025-40536 — SolarWinds Web Help Desk : contournement de contrôle de sécurité (12 février 2026)
  • CVE-2024-28987 — SolarWinds Web Help Desk : vulnérabilité d'identifiants codés en dur (15 octobre 2024)
  • CVE-2024-28986 — SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables (15 août 2024)

← Toutes les failles SolarWinds · Suivi KEV