Cyberprzestępcy aktywnie atakują instancje SolarWinds Web Help Desk (WHD) — zwłaszcza te wystawione do publicznego internetu.
CISA dodała CVE-2025-40551 (krytyczną lukę związaną z deserializacją) do swojego katalogu Known Exploited Vulnerabilities (KEV), a Microsoft i Huntress informują o wieloetapowych włamaniach na podatne serwery WHD.
Co się dzieje?
🛠️ Początkowy dostęp
Atakujący wykorzystują podatne lub niezałatane instancje WHD — zwłaszcza te wystawione do internetu.
💻 Działania po przejęciu
• PowerShell + BITS do pobierania ładunku
• Zoho ManageEngine / Zoho Meetings do ruchu bocznego
• Cloudflare Tunnels do utrzymania dostępu
• Velociraptor nadużywany jako C2
🏢 Skutki
Pojedyncza wystawiona instancja WHD → potencjalne pełne przejęcie domeny.
🌐 Ryzyko związane z ekspozycją
~170 podatnych instancji WHD nadal widocznych w internecie (Shadowserver).
Dlaczego to ważne
„To odzwierciedla częsty, ale bardzo groźny schemat: jedna wystawiona aplikacja może otworzyć drogę do pełnego przejęcia domeny.”
Wystawienie do internetu radykalnie obniża poprzeczkę dla atakujących — umożliwia masowe skanowanie i kampanie wykorzystujące zasadę „spray and pray”.
Zalecenia dotyczące ograniczania ryzyka
✔️ Zaktualizuj do WHD 2026.1 lub nowszej wersji
✔️ Usuń bezpośredni dostęp z internetu do ścieżek administracyjnych
✔️ Umieść WHD za zaporą sieciową lub VPN
✔️ Zmień dane uwierzytelniające kont usługowych i administracyjnych
✔️ Poszukaj nieautoryzowanych narzędzi RMM (Zoho, Velociraptor)
