SolarWinds Web Help Desk ist wieder in den Fokus von Sicherheitsverantwortlichen gerückt. Das NCSC (Nederlands Cyber Security Centrum) meldet, dass ein Hersteller eine Schwachstelle behoben hat, die bei bestimmten Konfigurationen zu einem Authentifizierungspypass führen kann. Die Folge: Angreifer könnten sich unautorisierten Zugang verschaffen und so potenziell administrative Funktionen erreichen.
In diesem Beitrag ordnen wir die wichtigsten Punkte ein: Worum geht es bei der Schwachstelle, wann tritt sie auf, welche Auswirkungen sind möglich und welche nächsten Schritte für Betreiber sinnvoll sind.
Was wurde bei SolarWinds Web Help Desk behoben?
SolarWinds hat eine Sicherheitslücke in der SolarWinds Web Help Desk geschlossen. Laut NCSC handelt es sich dabei um ein Problem in der Authentifizierung – konkret um einen Bypass im Rahmen der SAML 2.0-Authentifizierung. Der Fehler betrifft also nicht „nur“ eine einzelne Komponente, sondern das Zusammenspiel aus Web Help Desk und der SAML-basierten Login-Logik.
Die Meldung ordnet das Risiko als „medium“ hinsichtlich der Wahrscheinlichkeit und als „high“ in Bezug auf den möglichen Schaden ein. Das unterstreicht, dass der konkrete Exploit nicht zwangsläufig für alle Umgebungen gleichermaßen relevant ist, aber bei betroffenen Systemen ernsthafte Folgen möglich sind.
Wann ist die Schwachstelle relevant?
Die Sicherheitslücke tritt in Systemen auf, in denen SAML-Authentifizierung in SolarWinds Web Help Desk aktiviert ist. Das ist entscheidend für die Priorisierung: Wer keinen SAML-Login nutzt, ist in der Regel weniger direkt betroffen als Umgebungen mit aktivierter SSO-Integration.
Das NCSC beschreibt, dass ein Angreifer die Authentifizierung umgehen kann, indem er die Art ausnutzt, wie SAML-Assertions verarbeitet werden. Dadurch kann es zu ungewolltem Zugriff kommen, obwohl die erwartete Prüfung eigentlich den Nutzerverkehr schützen soll.
Welche Auswirkungen sind möglich?
Wenn der Authentifizierungsprozess nicht zuverlässig greift, gerät die Integrität des Mechanismus unter Druck. Im schlimmsten Fall bedeutet das: Ein nicht autorisierter Benutzer kann in das System gelangen.
Laut NCSC kann das sogar bis zu Zugriffen auf sensibler bzw. administrative Funktionen reichen. Damit steigt das Risiko, dass Angreifer nicht nur „reine“ Systemzugänge erhalten, sondern auch Aktionen ausführen, die für den Betrieb oder die Konfiguration relevant sind.
Technischer Hintergrund: Improper Authentication
Das NCSC ordnet die Schwachstelle unter CWE-287: Improper Authentication ein. Dieser Klassifizierung liegt zugrunde, dass Authentifizierungsentscheidungen nicht korrekt oder nicht ausreichend robust getroffen werden.
Zusätzlich nennt die Meldung konkrete Identifikatoren: CVE-2026-28323 und eine höchste CVSS-Basisscore von 9.8. Eine so hohe Bewertung deutet darauf hin, dass die Schwachstelle im Erfolgsfall besonders schwerwiegende Konsequenzen haben kann.
Wer ist betroffen?
Betroffen ist laut NCSC das Produkt Web Help Desk von SolarWinds. Für die Praxis ist jedoch wichtig, dass die Exposition vor allem bei Systemen gegeben ist, bei denen SAML 2.0 als Authentifizierungsweg genutzt wird.
Wenn Sie also einen Identity-Provider einsetzen (z. B. für SSO) und SAML-Assertions im Login-Prozess verarbeitet werden, sollten Sie die Dringlichkeit der Prüfung und Aktualisierung erhöhen.
Welche Maßnahmen sind jetzt sinnvoll?
Der zentrale Punkt: SolarWinds hat Updates veröffentlicht, um die Schwachstelle zu beheben. Betreiber sollten daher als erstes sicherstellen, dass die aktuelle, gepatchte Version installiert ist.
Darüber hinaus empfiehlt es sich, die eigene Umgebung nach folgenden Fragen abzuklopfen:
- Ist SAML-Authentifizierung in der SolarWinds Web Help Desk aktiviert?
- Welche Version wird aktuell eingesetzt, und wurde das entsprechende Update eingespielt?
- Gibt es privilegierte Admin-Funktionen, die durch unautorisierte Zugriffe besonders kritisch wären?
- Welche Protokolle (Login-Events, Auth-Fehler, Admin-Aktionen) lassen sich für eine nachträgliche Validierung heranziehen?
Auch wenn die Schwachstelle behoben ist, lohnt sich ein Blick in die Logs, sofern Ihre Prozesse das abdecken. So können Sie frühzeitig Hinweise auf ungewöhnliche Login-Muster oder Aktivitäten erkennen.
Priorität einordnen: Medium Wahrscheinlichkeit, hoher Schaden
Die NCSC-Angaben („Kans: medium“, „Schade: high“) sind ein typischer Hinweis darauf, wie Organisationen die Reihenfolge der Maßnahmen festlegen sollten. „Medium“ heißt nicht, dass man warten kann, sondern dass man gezielt prüfen sollte, ob die eigene Konfiguration in den betroffenen Bereich fällt.
Gerade weil der Angriff über das Authentifizierungssystem läuft, sind die potenziellen Auswirkungen hoch. Das betrifft vor allem Szenarien, in denen administrative Bereiche eng mit dem Web Help Desk verknüpft sind.
Schritt-für-Schritt: So gehen Sie strukturiert vor
Damit Sie schnell handlungsfähig sind, hier ein pragmatischer Ablauf, der sich in vielen Change-Prozessen bewährt:
1) Exposition feststellen
Prüfen Sie, ob in Ihrer Instanz von SolarWinds Web Help Desk SAML für die Anmeldung genutzt wird. Ohne aktiviertes SAML sinkt die Relevanz deutlich, mit aktivem SAML steigt die Dringlichkeit.
2) Update-Status prüfen
Vergleichen Sie Ihre installierte Version mit den von SolarWinds bereitgestellten Informationen. Entscheidend ist, dass Sie die vom Hersteller bereitgestellten Updates korrekt einspielen.
3) Nacharbeiten und Validierung
Nach dem Patchen sollten Login-Funktionalität und Zugriffsrechte wie gewohnt funktionieren. Zusätzlich kann eine kurze Sichtung der relevanten Logdaten sinnvoll sein, um Auffälligkeiten auszuschließen.
4) Sicherheitsprozess dokumentieren
Halten Sie fest, welche Systeme betroffen waren (bzw. nicht), wann gepatcht wurde und welche Tests durchgeführt wurden. Das erleichtert Audits und verbessert die Reaktionsfähigkeit bei künftigen Vorfällen.
Fazit: Patchen und SAML-Konfiguration prüfen
Die Meldung des NCSC macht deutlich, wie kritisch Schwachstellen in der Authentifizierung sein können. In SolarWinds Web Help Desk wurde eine Lücke behoben, die bei aktivierter SAML 2.0-Authentifizierung zu einem Authentifizierungspypass führen konnte. Im Erfolgsfall waren unautorisierte Zugriffe bis hin zu administrativen Funktionen möglich.
Wenn Sie SAML in Ihrer Web Help Desk-Umgebung nutzen, sollten Sie die Updates von SolarWinds zeitnah einspielen und die Konfiguration sowie Logdaten im Blick behalten. So reduzieren Sie das Risiko wirksam und bringen Ihre Umgebung auf einen sicheren Stand.
Quelle: https://advisories.ncsc.nl/csaf/v2/2026/ncsc-2026-0274.json