Investigadores de Horizon3.ai descubrieron múltiples vulnerabilidades críticas en SolarWinds Web Help Desk (WHD), que culminan en una ejecución remota de código (RCE) sin autenticación a través de la deserialización de Java en CVE-2025-40551. Estas fallas encadenan credenciales estáticas, omisiones de seguridad y debilidades de deserialización, afectando a versiones anteriores a la 2026.1. 

Investigadores de Horizon3.ai descubrieron múltiples vulnerabilidades críticas en SolarWinds Web Help Desk (WHD), que culminan en una ejecución remota de código (RCE) sin autenticación mediante deserialización de Java en CVE-2025-40551.

Estas fallas encadenan credenciales estáticas, bypass de seguridad y debilidades de deserialización, afectando a versiones anteriores a la 2026.1.

SolarWinds WHD, una plataforma de gestión de servicios de TI para emisión de tickets y seguimiento de activos, ha enfrentado problemas recurrentes de deserialización.

En 2024, CVE-2024-28986 permitió RCE a través de AjaxProxy y fue añadida al catálogo de Vulnerabilidades Explotadas Conocidas de CISA; los parches fueron eludidos por CVE-2024-28988 y CVE-2025-26399.

La última cadena de exploits aprovecha rutas similares, eludiendo la sanitización en el manejo de JSON-RPC.

Las fallas incluyen credenciales hardcodeadas, bypass de CSRF y filtros de solicitudes, y deserialización insegura en la biblioteca jabsorb.​

Los atacantes eluden las listas blancas modificando URIs de "/ajax/" a "/wo/", crean componentes con "wopage" e inyectan gadgets como búsquedas JNDI.​

Cadena de Explotación

Los atacantes sin autenticación comienzan creando una sesión en la página de inicio de sesión para extraer los tokens wosid y XSRF.

Eluden los filtros con "?badparam=/ajax/&wopage=LoginPref" para instanciar LoginPref, permitiendo acceso a AjaxProxy, y luego envían payloads JSON maliciosos mediante JSONRPC para deserialización.

Una plantilla de Nuclei demuestra una búsqueda JNDI hacia servidores externos, confirmando el potencial de RCE.​

Monitorea los logs en <Instalación>/logs/ en busca de señales de explotación.​

IPs inusuales accediendo a endpoints restringidos pueden indicar un compromiso.​

Mitigaciones

Actualiza inmediatamente a WHD 2026.1, que soluciona estos problemas, según las notas de lanzamiento de SolarWinds. Revisa las configuraciones para deshabilitar cuentas predeterminadas y aplica filtros estrictos de solicitudes.

Herramientas como NodeZero ya ofrecen cobertura; mantente atento a las actualizaciones de CISA sobre explotación.