文章总结： SolarWinds在其WebHelpDesk软件中发现了四个严重漏洞，包括CVE-2025-40551和CVE-2025-40553两个未授权远程代码执行漏洞，以及CVE-2025-40552和CVE-2025-40554两个身份验证绕过漏洞，这些漏洞均被评为CVSS9.8分，攻击者可利用它们在无需登录的情况下远程执行命令或绕过认证访问敏感功能。建议用户立即升级到WebHelpDesk2026.1版本以修复这些漏洞。 综合评分： 85 文章分类： 漏洞预警,漏洞分析,渗透测试,网络安全,应用安全

SolarWinds 2026 的关键漏洞

暗镜

2026年2月23日 07:09 辽宁

SolarWinds 在其 Web Help Desk (WHD) 软件中发现了几个严重漏洞，这些漏洞可能允许攻击者获得未经授权的访问权限并远程执行恶意代码，因此该公司发布了安全更新。

分析

CVE-2025-40551 – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – 9.8

CVE-2025-40551 漏洞源于应用程序接收来自外部源的序列化数据，并在未验证其安全性的情况下对其进行转换。攻击者可以精心构造数据，当服务器反序列化这些数据时，即可触发任意代码的执行。SolarWinds 已发布安全更新修复此漏洞，该漏洞主要影响 SolarWinds Web Help Desk。

CVE-2025-40552 – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – 9.8

CVE-2025-40552源于一个薄弱的身份验证验证问题（被归类为 CWE-1390），这意味着系统在授予对受保护功能的访问权限之前，未能正确验证凭据。结合同一产品中的其他漏洞，这种绕过方式可能导致更广泛的攻击。建议将 Web Help Desk 更新到已修复的版本。

CVE-2025-40553 – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – 9.8

CVE-2025-40553被归类为对不受信任的数据进行不安全反序列化，这可能允许攻击者在无需登录的情况下远程执行服务器上的代码。SolarWinds 已发布安全补丁，修复了 Web Help Desk 2026.1 版本中的此漏洞及其他一些严重漏洞。

CVE-2025-40554 – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – 9.8

CVE-2025-40554 被归类为弱身份验证漏洞 (CWE-1390)，这意味着该软件在允许请求者执行某些功能之前，未能正确验证其身份。拥有网络访问权限的攻击者可以向应用程序发送特制的请求，应用程序会将这些请求视为来自合法用户的请求而接受，从而允许攻击者在无需凭据的情况下调用内部功能。建议将 SolarWinds Web Help Desk 更新到已修复的版本。

参考

• https://www.solarwinds.com/trust-center/security-advisories
• https://thehackernews.com/2026/01/solarwinds-fixes-four-critical-web-help.html
• https://arcticwolf.com/resources/blog/multiple-critical-authentication-bypass-remote-code-execution-vulnerabilities-fixed-in-solarwinds-web-help-desk/
• https://cyberpress.org/solarwinds-bypass-vulnerabilities/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 《SolarWinds 2026 的关键漏洞》