SolarWinds corrige vulnerabilidades críticas con RCE y bypass de autenticación
Publicado el
Actualización de seguridad en SolarWinds Web Help Desk
SolarWinds ha anunciado la disponibilidad de actualizaciones de seguridad que abordan varias vulnerabilidades significativas en su producto Web Help Desk. Entre estas, destacan cuatro fallos críticos que podrían permitir a un atacante no autenticado eludir la autenticación y ejecutar código de forma remota (RCE).
### Detalle de las vulnerabilidades Las vulnerabilidades identificadas son las siguientes:
- CVE-2025-40536 (CVSS 8.1): Permite a un atacante no autenticado acceder a funcionalidades restringidas mediante un bypass de controles de seguridad. - CVE-2025-40537 (CVSS 7.5): Se trata de una vulnerabilidad relacionada con credenciales codificadas que permite el acceso a funciones administrativas a través de la cuenta de usuario "client". - CVE-2025-40551 (CVSS 9.8): Vulnerabilidad de deserialización de datos no confiables que puede resultar en RCE, permitiendo a un atacante ejecutar comandos en el sistema objetivo. - CVE-2025-40552 (CVSS 9.8): Bypass de autenticación que puede ser utilizado por un atacante no autenticado para llevar a cabo acciones dentro del sistema. - CVE-2025-40553 (CVSS 9.8): Similar a CVE-2025-40551, es otra vulnerabilidad de deserialización que permite RCE. - CVE-2025-40554 (CVSS 9.8): Otro bypass de autenticación con potencial para invocar acciones específicas dentro de Web Help Desk.
Los investigadores Jimi Sebree de Horizon3.ai y Piotr Bazydlo de watchTowr fueron los responsables de descubrir y reportar estas vulnerabilidades.
### Impacto de las vulnerabilidades Rapid7 ha advertido que las vulnerabilidades CVE-2025-40551 y CVE-2025-40553 son especialmente peligrosas, ya que permiten a un atacante no autenticado lograr RCE en el sistema objetivo y ejecutar cargas útiles, como comandos del sistema operativo de manera arbitraria. Este tipo de ataque es considerado un vector altamente confiable para los atacantes debido a la posibilidad de explotación sin necesidad de autenticación.
Aunque CVE-2025-40552 y CVE-2025-40554 se describen como bypasses de autenticación, también podrían ser utilizados para lograr RCE, potencialmente alcanzando el mismo impacto que las vulnerabilidades de deserialización mencionadas.
### Actualización recomendada Dado el historial de explotación de fallos en Web Help Desk, es fundamental que los usuarios actualicen a la versión más reciente de la plataforma de gestión de servicios IT. La actualización a WHD 2026.1 es esencial para mitigar los riesgos asociados con estas vulnerabilidades.
SolarWinds ha abordado previamente múltiples fallos en su software, incluyendo CVE-2024-28986, CVE-2024-28987, CVE-2024-28988 y CVE-2025-26399. En 2024, la CISA (Agencia de Ciberseguridad e Infraestructura de EE. UU.) incluyó algunos de estos en su catálogo de Vulnerabilidades Conocidas Explotadas (KEV), resaltando la evidencia de explotación activa.
Es imperativo que los clientes actúen con rapidez para proteger sus sistemas y evitar posibles compromisos de seguridad.