CVE-2026-28318highbajo ataqueCWE-400

CVE-2026-28318: fallo de gravedad alta en SolarWinds Serv-U

SolarWinds Serv-U Unauthenticated Denial of Service Vulnerability

Publicada el · Actualizada el

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.5epss 1.9%
de la publicación al arma5 días
Publicada en NVD4 jun
1ª PoC+5d
CISA KEV+1d
probabilidad de explotación
1.9%top 20% de las CVE
explotación observada
síCISA + VulnCheck
4 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2026-06-19

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

SolarWinds Serv-U puede ser derribado por cualquier persona enviando solicitudes especialmente construidas sin necesidad de iniciar sesión. Esto interrumpe el servicio de transferencia de archivos para todos los usuarios.

Detalle técnico

Atacantes no autenticados pueden explotar el manejo inadecuado de entrada en solicitudes POST con Content-Encoding: deflate para provocar indisponibilidad del servicio Serv-U sin requerir credenciales ni acceso previo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

SolarWinds Serv-U is susceptible to specially crafted POST requests that crash the Serv-U service without authentication using Content-Encoding: deflate. Mitigation steps are provided to secure customer environments in the SolarWinds Trust Center if you are unable to deploy the update
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
SolarWinds · Serv-U
PoCs públicas encontradas — 4
githubgithub.com/EaEa0001/servu-cve-2026-28318-poc★ 1githubgithub.com/BishopFox/CVE-2026-28318-check★ 1githubgithub.com/jenniferreire26/CVE-2026-28318★ 0vulncheckvulncheck.com/xdb/d35409cf284eno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — SolarWinds Serv-U

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-35247MEDIUMImproper Input Validation Vulnerability in Serv-UEPSS 3.5%KEVCVE-2021-35250HIGHDirectory Transversal Vulnerability in Serv-U 15.3EPSS 12.8%CVE-2024-45711HIGHSolarWinds Serv-U FTP Service Directory Traversal Remote Code Execution VulnerabilityEPSS 6.3%CVE-2021-35223HIGHExecute Command Function Allows Remote Code Execution (RCE)VulnerabilityEPSS 2.9%CVE-2026-28316CRITICALSolarWinds Serv-U Insecure Direct Object Reference (IDOR) VulnerabilityEPSS 2.1%CVE-2025-40549CRITICALSolarWinds Serv-U Path Restriction Bypass VulnerabilityEPSS 1.1%
Referencias
https://documentation.solarwinds.com/en/success_center/servu/content/release_notes/servu_15-5-4-hotfix-1_release_notes.htmhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-28318https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28318