CVE-2026-28308: Kritisk IDOR-fejl i SolarWinds Serv-U

CVE-2026-28308 er en sårbarhed i SolarWinds Serv-U, et program til fil- og FTP-overførsel, der bruges af virksomheder til at dele filer sikkert internt og eksternt. Fejlen er en såkaldt IDOR-fejl (insecure direct object reference), hvor systemet ikke kontrollerer ordentligt, om en bruger har ret til at tilgå et bestemt objekt, for eksempel en fil eller en indstilling, når den refereres direkte via et id. En angriber, der allerede har domæneadministrator-rettigheder, kan udnytte denne mangel til at få systemet til at afvikle vilkårlig kode, altså tage fuld kontrol over serveren. Konsekvensen er mindre alvorlig i Windows-installationer end i andre opsætninger.

Det rammer virksomheder og kommuner, der har SolarWinds Serv-U installeret til fil- eller FTP-overførsel, uanset om det ligger på Windows eller andre platforme. Risikoen forudsætter, at en angriber allerede har fået fat i domæneadministrator-adgang, for eksempel via stjålne loginoplysninger eller en tidligere kompromittering. Der er ikke angivet specifikke versionsnumre i den offentlige beskrivelse, så alle virksomheder med Serv-U bør tjekke SolarWinds’ sikkerhedsmeddelelser for den præcise ramte version.

Hvis en angriber med domæneadministrator-rettigheder udnytter fejlen, kan de afvikle vilkårlig kode på Serv-U-serveren. I praksis betyder det, at angriberen kan læse, ændre eller slette filer, der ligger på serveren, installere skadelig software eller bruge serveren som springbræt til resten af netværket. For en dansk virksomhed, der bruger Serv-U til at udveksle fakturaer, kontrakter eller kundedata med eksterne parter, kan det betyde tab af fortrolige data eller driftsstop, hvis serveren bliver låst ned eller misbrugt.

CVSS-scoren er 9,1 af 10, hvilket er kritisk. Angrebet kræver ikke, at brugeren klikker på noget (ingen brugerinteraktion), og det kan gennemføres over netværket. Til gengæld kræver det, at angriberen allerede har domæneadministrator-rettigheder, hvilket er en høj adgangsbarriere og adskiller sig fra sårbarheder, der kan udnyttes helt uden login. Der er ikke oplyst om aktiv udnyttelse i det åbne på offentliggørelsesdatoen, men fordi konsekvensen er fuld systemkompromittering, bør sårbarheden tages seriøst, især i miljøer hvor domæneadministratorer allerede er et attraktivt mål.

Følg disse skridt for at lukke hullet og begrænse risikoen:

1. Tjek SolarWinds’ officielle sikkerhedsmeddelelse for Serv-U og opdatér til den version, der retter CVE-2026-28308.
2. Gennemgå, hvem der har domæneadministrator-rettigheder i jeres miljø, og fjern adgang, der ikke er nødvendig.
3. Aktivér flerfaktorgodkendelse for alle konti med domæneadministrator-adgang, hvis det ikke allerede er på plads.
4. Overvåg logs på Serv-U-serveren for uventet filadgang eller kodeudførelse i perioden omkring offentliggørelsen.
5. Segmentér Serv-U-serveren i netværket, så en kompromitteret konto ikke automatisk giver adgang til andre kritiske systemer.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere jeres Serv-U-version eller gennemgå adgangsrettigheder.