WebPros SolusVM 2: Server-side Template Injection führt zu Remote Code Execution
Zusammenfassung
SolusVM 2 bis einschliesslich Version 2.0.0-44576 enthält eine Server-side Template Injection (CWE-1336). Ein entfernter Angreifer mit gültigen Benutzerzugangsdaten kann beliebigen Code mit Root-Rechten auf dem Server ausführen. Laut Hersteller kann eine Kompromittierung auf den Management-Node und auf andere Kunden auf demselben Node ausgeweitet werden.
Betroffen
- SolusVM 2, alle Versionen bis einschliesslich 2.0.0-44576
Behoben in
- Vom Hersteller genannte gepatchte Version: 2.0.0-44739 (Verfügbarkeit zum Zeitpunkt der Erstellung nicht bestätigt)
Umgehung
- Unbekannt. Die Herstellerwarnung nennt keinen Workaround.
- Die Beschränkung des Zugriffs auf die SolusVM-Panels auf Management-Netze oder VPN reduziert das Risiko, ist aber keine vom Hersteller bestätigte Behebung.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC (Vulnrichment): Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof-of-Concept gefunden; Hersteller und VulDB geben an, dass technische Details nicht öffentlich verfügbar sind.
Unsere Empfehlung
- Alle SolusVM-2-Instanzen inventarisieren und prüfen, ob die Version 2.0.0-44576 oder älter ist.
- Beim Hersteller WebPros Veröffentlichungsdatum und Download-Ort von 2.0.0-44739 erfragen und sobald verfügbar patchen.
- Bis zum Patch den Zugriff auf die Panels auf Management-Netze oder VPN beschränken und Benutzerkonten überprüfen.
- Authentifizierungs- und Administrationsaktivitäten überwachen.
- Hosting-Kunden sollten beim Provider nachfragen, ob betroffene Versionen eingesetzt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WebPros SolusVM 2 security advisory support.solusvm.com
- VulDB entry vuldb.com
- OpenCVE entry app.opencve.io
- Strix CVE record www.strix.ai
- CNNVD record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.