CVE-2026-28306: Rettighedsfejl i SolarWinds Serv-U
En fejl i SolarWinds Serv-U gør det muligt for en domæneadministrator at opnå fuld systemadgang. Opdatér til nyeste version.
Hvad er det?
SolarWinds Serv-U er en fil- og FTP-server, der mange virksomheder bruger til at dele filer sikkert med medarbejdere og eksterne parter. CVE-2026-28306 er en fejl i rettighedsstyringen, kaldet en access control-fejl (CWE-284). Fejlen betyder, at en bruger med rollen domæneadministrator, som normalt kun har adgang til sit eget afgrænsede område i Serv-U, kan hæve sine rettigheder til systemadministrator. Med den rolle får man fuld kontrol over hele installationen, inklusive alle andre domæner, brugere og filer, ikke kun sit eget område.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører SolarWinds Serv-U og har opdelt adgangen i flere domæner med delegerede domæneadministratorer, for eksempel til eksterne samarbejdspartnere eller decentrale afdelinger. Ifølge NVD er konsekvensen lavere for installationer på Windows, mens installationer på andre platforme, som Linux, er hårdere ramt af sårbarheden.
Hvad kan ske?
En medarbejder eller ekstern partner, der kun burde have adgang til sit eget domæne i Serv-U, kan udnytte fejlen til at få fuld kontrol over hele filserveren. I praksis betyder det, at personen kan læse og ændre andre afdelingers filer, oprette nye administratorkonti, ændre serverens konfiguration og potentielt bruge adgangen som springbræt til resten af netværket.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket, men kræver at angriberen allerede har en gyldig konto med rollen domæneadministrator. Det gør sårbarheden mest relevant, hvis I har flere domæner med delegerede administratorer, eller hvis en konto med den rolle kan blive kompromitteret. Scope-ændringen i CVSS-vektoren betyder, at angriberen kan påvirke ressourcer uden for sit eget domæne. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i praksis.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og reducere risikoen, mens I opdaterer:
- Opdatér SolarWinds Serv-U til den nyeste version, hvor fejlen er rettet. Tjek SolarWinds’ officielle supportside for den konkrete version.
- Gennemgå listen over domæneadministratorer og fjern eller nedgrader konti, der ikke har et aktuelt behov for denne rolle.
- Begræns, hvor Serv-U kan tilgås fra netværksmæssigt, hvis serveren ikke behøver at være tilgængelig fra hele internettet.
- Skift adgangskoder for alle domæneadministrator-konti, hvis I er i tvivl om, om nogen af dem er kompromitteret.
- Overvåg logfiler for uventede rolleændringer eller adgang mellem domæner efter opdateringen.
- Hvis I ikke selv kan verificere, at opdateringen er installeret korrekt, eller om jeres opsætning er sårbar, bør I hente ekstern hjælp til en gennemgang.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Serv-U til nyeste version og samtidig gennemgår, hvem der har rollen domæneadministrator i jeres opsætning. Er der ingen delegerede domæneadministratorer i jeres installation, er risikoen lavere, og I kan planlægge opdateringen som en del af jeres almindelige patch-rutine. Har I derimod flere domæner med eksterne eller decentrale administratorer, bør opdateringen prioriteres højt, da konsekvensen ved misbrug er fuld kontrol over serveren.
Tidslinje
Konkrete eksempler
Ekstern samarbejdspartner med domæneadgang
En dansk speditionsvirksomhed bruger Serv-U til at give eksterne transportpartnere adgang til fragtdokumenter, hvor hver partner er sat op som et eget domæne med en domæneadministrator. Bliver en af disse partnerkonti kompromitteret eller misbrugt, kan angriberen udnytte fejlen til at hæve sine rettigheder og få adgang til alle andre partneres og virksomhedens egne filer på serveren.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I bruger SolarWinds Serv-U og har oprettet mindst én konto med rollen domæneadministrator. Bruger I kun én samlet systemadministrator uden opdeling i domæner, er risikoen minimal.
Hvordan tjekker vi, om vores Serv-U er sårbar?
Tjek jeres installerede version i Serv-U’s administrationspanel og sammenlign med den version, SolarWinds angiver som rettet i deres officielle sikkerhedsmeddelelse. Er I i tvivl, kan vi hjælpe med at afklare det.
Kan vi vente til weekenden med at opdatere?
Hvis I ikke har delegerede domæneadministratorer, kan opdateringen vente til næste planlagte vindue. Har I eksterne partnere eller afdelinger med egen adgang, bør I opdatere hurtigst muligt, da konsekvensen ved misbrug er stor.
Skal vi anmelde noget til Datatilsynet på grund af denne sårbarhed?
Sårbarheden alene udløser ikke en anmeldelsespligt. Har I derimod tegn på, at en domæneadministrator faktisk har udnyttet fejlen til at få adgang til personoplysninger uden ret, skal I vurdere sagen som et muligt sikkerhedsbrud efter de almindelige regler.
Hvad er forskellen mellem domæneadministrator og systemadministrator i Serv-U?
En domæneadministrator styrer kun ét afgrænset domæne i Serv-U, for eksempel én afdelings eller partners brugere og mapper. En systemadministrator har fuld kontrol over hele installationen, alle domæner og al konfiguration. Fejlen gør det muligt at gå fra den første rolle til den anden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SolarWinds Serv-U is affected by a privilege escalation vulnerability that allows a domain administrator to elevate their privileges to a system administrator. The impact is lower in Windows deployments.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.