A vulnerabilidade CVE-2026-28323, avaliada em 9,8 no CVSS, permite que um atacante remoto e não autenticado ignore completamente o login por SAML no SolarWinds Web Help Desk sempre que o método de autenticação SAML 2.0 estiver habilitado. A SolarWinds lançou a correção na versão 2026.2.1 em 30 de julho de 2026 e informou que não existe nenhuma solução alternativa — apenas a atualização elimina o risco de acesso não autorizado a tickets de TI, dados de ativos e configurações internas.
O Web Help Desk é uma plataforma de service desk usada para gerenciar chamados de suporte, inventário de ativos e fluxos de aprovação em diversas organizações. Um bypass de autenticação nessa camada expõe diretamente informações operacionais sensíveis e pode servir de porta de entrada para movimentação lateral em ataques de múltiplas etapas, nos quais o invasor coleta credenciais e mapeia a rede a partir de um acesso inicial obtido sem senha.
Como funciona o bypass SAML
A falha reside no caminho de autenticação SAML 2.0 do Web Help Desk e é classificada como CWE-287 (Improper Authentication). Segundo o registro no NVD, a vulnerabilidade exige que o método SAML 2.0 esteja habilitado para ser explorada. Isso significa que instâncias configuradas apenas com login convencional por senha não estão expostas a esse vetor específico, mas todo ambiente que dependa de single sign-on (SSO) baseado em SAML permanece vulnerável enquanto não atualizar.
O vetor CVSS 3.1 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — confirma que a exploração é remota, exige baixa complexidade, não pede privilégios prévios nem interação do usuário e compromete confidencialidade, integridade e disponibilidade em grau alto. Na prática, um invasor só precisa de acesso de rede à instância do Web Help Desk para tentar o bypass.
Versões afetadas e correção
A SolarWinds confirmou que todas as instalações do Web Help Desk 2026.1 e versões anteriores estão afetadas. O fix definitivo chegou com a versão 2026.2.1, lançada em 30 de julho de 2026, que também corrige uma segunda falha de negação de serviço. O pesquisador Dhabaleshwar Das é creditado pela descoberta do bypass SAML.
O quadro abaixo resume os dois problemas corrigidos no mesmo release:
| CVE | CVSS | Tipo | Status de exploração |
|---|---|---|---|
| CVE-2026-28323 | 9,8 (Crítica) | Bypass de autenticação SAML (CWE-287) | Nenhuma exploração confirmada |
| CVE-2026-28299 | 8,2 (Alta) | Negação de serviço por memória insuficiente (CWE-770) | Nenhuma exploração confirmada |
Risco de acesso não autorizado
Mesmo sem exploração ativa relatada até agora, a gravidade técnica justifica prioridade alta. O coordenador da CISA, via SSVC, marcou a falha com technicalImpact = total e automatable = yes, indicando que um ataque bem-sucedido poderia ser automatizado e resultar em controle total da aplicação. O Web Help Desk já teve falhas anteriores incluídas no catálogo KEV da CISA, o que mostra que o produto é alvo recorrente de atacantes.
O acesso indevido a um service desk central expõe histórico de tickets — que costuma conter senhas e dados internos compartilhados por usuários —, inventário de ativos, atribuições de permissões e rotas de aprovação. Esses dados alimentam diretamente etapas seguintes de um ataque, como elevação de privilégios, persistência silenciosa e comprometimento da resposta a incidentes da organização.
Checklist de mitigação e resposta
Como não há workaround, a atualização é obrigatória. O roteiro abaixo organiza as ações por ordem de prioridade para equipes que administram o Web Help Desk:
- Identifique instâncias afetadas: liste todas as instalações em versões 2026.1 ou anteriores, incluindo ambientes de homologação e backups restauráveis.
- Verifique o uso de SAML 2.0: confirme quais instâncias têm o método de autenticação SAML habilitado — estas têm exposição máxima ao CVE-2026-28323.
- Restrinja o acesso de rede: mantenha o Web Help Desk fora da internet pública e limite o acesso administrativo a redes confiáveis, reduzindo a superfície de ataque remoto.
- Atualize para 2026.2.1: aplique o release corrigido em todas as instâncias afetadas o mais rápido possível; o patch é cumulativo.
- Revise logs de acesso: busque logins suspeitos ou anômalos no período anterior à correção, seguindo boas práticas de monitoramento de logs.
- Confirme a configuração pós-patch: valide que o SSO SAML continua funcionando e que nenhum acesso não autorizado persiste após a atualização.