← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités SolarWinds activement exploitées (KEV)

Les 11 vulnérabilités SolarWinds dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 2 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-28318 — SolarWinds Serv-U : vulnérabilité de consommation de ressources incontrôlée

Produit : SolarWinds Serv-U
Ajoutée au catalogue : 5 juin 2026
Échéance CISA : 19 juin 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-400
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 44 %

SolarWinds Serv-U contient une vulnérabilité de consommation de ressources incontrôlée qui permet de faire planter le service Serv-U avec des requêtes POST spécialement conçues utilisant l'en-tête Content-Encoding: deflate sans authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · solarwinds.com · documentation.solarwinds.com

CVE-2025-26399 — SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables Critique

Produit : SolarWinds Web Help Desk
Ajoutée au catalogue : 9 mars 2026
Échéance CISA : 12 mars 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-502
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 91 %

SolarWinds Web Help Desk contient une vulnérabilité de désérialisation de données non fiables dans AjaxProxy qui pourrait permettre à un attaquant d'exécuter des commandes sur la machine hôte.

Références : NVD · CISA · solarwinds.com · documentation.solarwinds.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-40536 — SolarWinds Web Help Desk : contournement de contrôle de sécurité Critique

Produit : SolarWinds Web Help Desk
Ajoutée au catalogue : 12 février 2026
Échéance CISA : 15 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-693
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 74 %

SolarWinds Web Help Desk contient une vulnérabilité de contournement de contrôle de sécurité qui pourrait permettre à un attaquant non authentifié d'accéder à certaines fonctionnalités restreintes.

Références : NVD · CISA · documentation.solarwinds.com · solarwinds.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-40551 — SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables Critique

Produit : SolarWinds Web Help Desk
Ajoutée au catalogue : 3 février 2026
Échéance CISA : 6 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 84 %

SolarWinds Web Help Desk contient une vulnérabilité de désérialisation de données non fiables qui pourrait entraîner une exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur la machine hôte. Ceci pourrait être exploité sans authentification.

Références : NVD · CISA · solarwinds.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-28987 — SolarWinds Web Help Desk : vulnérabilité d'identifiants codés en dur

Produit : SolarWinds Web Help Desk
Ajoutée au catalogue : 15 octobre 2024
Échéance CISA : 5 novembre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-798
Gravité : CVSS 9,1 (critique)
Probabilité d’exploitation (EPSS) : 93 %

SolarWinds Web Help Desk contient une vulnérabilité d'identifiants codés en dur qui pourrait permettre à un utilisateur distant et non authentifié d'accéder à des fonctionnalités internes et de modifier des données.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · solarwinds.com

CVE-2024-28986 — SolarWinds Web Help Desk : vulnérabilité de désérialisation de données non fiables

Produit : SolarWinds Web Help Desk
Ajoutée au catalogue : 15 août 2024
Échéance CISA : 5 septembre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 85 %

SolarWinds Web Help Desk contient une vulnérabilité de désérialisation de données non fiables qui pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · solarwinds.com

CVE-2024-28995 — SolarWinds Serv-U : vulnérabilité de traversée de répertoires

Produit : SolarWinds Serv-U
Ajoutée au catalogue : 17 juillet 2024
Échéance CISA : 7 août 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-22
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 100 %

SolarWinds Serv-U contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'accéder à la lecture de fichiers sensibles sur la machine hôte.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · solarwinds.com

CVE-2021-35247 — SolarWinds Serv-U : validation incorrecte des entrées

Produit : SolarWinds Serv-U
Ajoutée au catalogue : 21 janvier 2022
Échéance CISA : 4 février 2022
Rançongiciels : pas d’usage connu
Faiblesse : CWE-20
Gravité : CVSS 5,3 (moyenne)
Probabilité d’exploitation (EPSS) : 4 %

Les versions 15.2.5 et antérieures de SolarWinds Serv-U contiennent une vulnérabilité de validation incorrecte des entrées qui permet aux attaquants de construire et d'envoyer des requêtes sans assainissement.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-35211 — SolarWinds Serv-U : vulnérabilité d'exécution de code à distance Critique

Produit : SolarWinds Serv-U
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 17 novembre 2021
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-787
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 91 %

SolarWinds Serv-U contient une vulnérabilité d'échappement de mémoire non spécifiée qui peut permettre une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2020-10148 — SolarWinds Orion : contournement de l'authentification

Produit : SolarWinds Orion
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 3 mai 2022
Rançongiciels : pas d’usage connu
Faiblesse : CWE-288
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 92 %

L'API de SolarWinds Orion contient une vulnérabilité de contournement de l'authentification qui pourrait permettre à un attaquant distant d'exécuter des commandes API.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2016-3643 — SolarWinds Virtualization Manager : vulnérabilité d'élévation de privilèges

Produit : SolarWinds Virtualization Manager
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 3 mai 2022
Rançongiciels : pas d’usage connu
Faiblesse : CWE-264
Gravité : CVSS 7,8 (élevée)
Probabilité d’exploitation (EPSS) : 4 %

SolarWinds Virtualization Manager permet une élévation de privilèges en exploitant une mauvaise configuration de sudo.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)