SolarWinds Web Help Desk Deserialization of Untrusted Data Privilege Escalation Vulnerability

CVE-2025-26399 é uma falha de deserialização não autenticada no componente AjaxProxy do SolarWinds Web Help Desk (WHD), que permite execução remota de comandos no host sem qualquer credencial. É o terceiro bypass da mesma cadeia de patches: CVE-2024-28986 foi corrigida por CVE-2024-28988, que foi contornada por esta CVE — ou seja, o fornecedor tentou fechar o mesmo buraco três vezes. Está no catálogo KEV da CISA com evidência de exploração ativa em campanhas que comprometeram ambientes corporativos completos a partir de instâncias WHD expostas à internet.

A falha reside no AjaxProxy do WHD, um componente que processa requisições e desserializa objetos Java recebidos do cliente sem validação adequada de tipo ou origem — um CWE-502 (Deserialization of Untrusted Data) clássico. O atacante controla o payload serializado enviado ao endpoint, e a desserialização insegura permite instanciar objetos que, encadeados via gadgets disponíveis no classpath da aplicação, resultam em execução arbitrária de comandos no contexto do processo WHD.

O histórico da falha é o dado mais relevante para quem já aplicou patches anteriores: CVE-2024-28986 foi a vulnerabilidade original no AjaxProxy; a correção da SolarWinds foi insuficiente e CVE-2024-28988 documentou o primeiro bypass; a correção dessa segunda rodada também não fechou todos os caminhos de desserialização, e CVE-2025-26399 é o resultado. Isso indica que o problema estrutural — uso de desserialização Java insegura em um endpoint acessível sem autenticação — não foi eliminado nas duas tentativas anteriores, apenas os vetores específicos então conhecidos.

O advisory da SolarWinds lista o vetor como CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (a entrada de referência usa notação 3.1 com os mesmos componentes), refletindo rede como vetor de ataque, baixa complexidade, sem privilégio nem interação do usuário, e impacto total em confidencialidade, integridade e disponibilidade — coerente com RCE não autenticado.

O vetor é rede direta contra o endpoint AjaxProxy do WHD, sem necessidade de autenticação, conta válida ou configuração não padrão — qualquer instância exposta à internet com a versão vulnerável é alvo potencial. A complexidade de exploração é baixa (AC:L) e não exige interação do usuário, o que explica o CVSS 9.8 e o EPSS elevado (0.88).

A Microsoft documentou intrusões multi-estágio observadas em dezembro de 2025 contra instâncias WHD expostas: exploração resultou em RCE não autenticado, seguido de PowerShell abusando de BITS para baixar e executar payloads, instalação de um agente RMM (Zoho ManageEngine) para controle interativo, enumeração de contas de domínio incluindo Domain Admins, persistência via reverse SSH/RDP, uma técnica notável de esconder acesso SSH dentro de uma VM QEMU lançada como tarefa agendada no boot, DLL sideloading via wab.exe carregando uma sspicli.dll maliciosa para acesso a LSASS, e em pelo menos um caso escalada até DCSync contra um controlador de domínio.

Importante: a própria Microsoft afirma não conseguir confirmar com certeza se essas intrusões usaram CVE-2025-26399 ou as vulnerabilidades mais recentes divulgadas em 28/01/2026 (CVE-2025-40551 e CVE-2025-40536), porque as máquinas comprometidas estavam vulneráveis a ambos os conjuntos simultaneamente. Trate a atribuição exata do vetor de entrada com essa ressalva — o padrão pós-exploração (RMM, QEMU, DCSync) é o dado mais confiável da campanha, não o CVE de entrada específico.

Atualizar para WHD 12.8.7 Hotfix 1, que substitui whd-core.jar, whd-web.jar e adiciona HikariCP.jar, além de remover c3p0.jar do diretório de libs — a SolarWinds trata isso como correção completa da cadeia de bypass do AjaxProxy. Quem já está em 12.8.7 sem o hotfix permanece vulnerável; a nota do fornecedor exige aplicar o hotfix mesmo sobre instalações recentes de 12.8.7.

Se a atualização imediata não for viável, o paliativo real é reduzir a exposição: remover o acesso público a caminhos administrativos e ao endpoint AjaxProxy, restringindo-o à rede interna ou VPN, e aumentar o logging sobre esse componente — recomendação explícita da Microsoft dado que instâncias internet-facing foram o vetor de comprometimento observado. Isso não corrige a falha, apenas reduz a superfície de ataque enquanto o patch não é aplicado.

Dado o histórico de três bypasses sucessivos no mesmo componente, não trate patches anteriores (CVE-2024-28986/CVE-2024-28988) como garantia de que o AjaxProxy está seguro — a lição da própria cadeia é que a superfície de desserialização exigiu mais de uma rodada de correção. Após qualquer suspeita de comprometimento, o guia da Microsoft recomenda também localizar e remover artefatos de RMM não autorizado (por exemplo, ToolsIQ.exe) instalados após exploração, e rotacionar credenciais de contas de serviço e administrativas alcançáveis pelo WHD.

Não há assinatura pública de exploração publicada nas fontes revisadas; a Microsoft recomenda monitorar o WHD para processos anômalos derivados do processo da aplicação, especialmente spawn de PowerShell usando BITS para download e execução de payloads — esse foi o padrão pós-exploração observado nas intrusões de dezembro de 2025. Outros sinais de comprometimento pós-exploração incluem instalação inesperada de componentes Zoho ManageEngine RMM, tarefas agendadas suspeitas executando binários QEMU sob a conta SYSTEM no boot (nome observado em campo: "TPMProfiler"), carregamento de sspicli.dll via wab.exe fora do padrão esperado, e atividade de DCSync partindo do host de acesso original.

Como a própria Microsoft não conseguiu atribuir com certeza as intrusões observadas a esta CVE especificamente — versus CVE-2025-40551/CVE-2025-40536 — não existe indicador de rede confiável e específico para exploração desta falha isoladamente; o aumento de logging sobre o AjaxProxy, recomendado pelo fornecedor e pela Microsoft, é o caminho mais direto para detectar tentativas de desserialização anômala nesse endpoint.