CVE-2026-28309: Kritisk rettighedsfejl i SolarWinds Serv-U
SolarWinds Serv-U har en adgangskontrolfejl, der lader en domæneadministrator oprette systemadministrator-konti. Opdatér til nyeste version.
Hvad er det?
CVE-2026-28309 er en fejl i adgangskontrol i SolarWinds Serv-U, et program til fil- og FTP-overførsel. Fejltypen kaldes broken access control, hvilket betyder at systemet ikke tjekker rettigheder korrekt, når en handling udføres. Konkret kan en bruger med domæneadministrator-rettigheder, som normalt er begrænset til at administrere sit eget domæne, oprette nye konti med fuld systemadministrator-adgang. Det giver adgang til hele installationen, ikke kun det domæne, brugeren i udgangspunktet må styre.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger SolarWinds Serv-U til fil- eller FTP-overførsel, og hvor der er sat domæneadministratorer op i løsningen. Ikke-Windows-installationer er mest udsatte, mens Windows-baserede opsætninger har lavere impact, fordi rettighedsmodellen der begrænser skaden yderligere. Alle organisationer, der har delegeret administratorrettigheder til flere personer i Serv-U, bør tjekke deres opsætning.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med domæneadministrator-rettigheder, eller en angriber der har overtaget en sådan konto, kan oprette en ny konto med fuld systemadministrator-adgang. Herfra kan angriberen læse, ændre og slette alle filer og konfigurationer i Serv-U, oprette og slette andre brugerkonti, og potentielt bruge adgangen som springbræt til resten af netværket.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket med lav teknisk kompleksitet, men det kræver at angriberen allerede har høje rettigheder som domæneadministrator. Når det udnyttes, går fortrolighed, integritet og tilgængelighed alle i stykker, fordi angriberen får fuld systemadministrator-kontrol. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse, men fordi konsekvensen er så stor, bør sårbarheden prioriteres højt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér Serv-U til den nyeste version fra SolarWinds, som retter adgangskontrolfejlen.
- Gennemgå alle domæneadministrator-konti i Serv-U og fjern konti, der ikke er strengt nødvendige.
- Tjek logfiler for nyligt oprettede systemadministrator-konti, som I ikke selv har oprettet.
- Begræns antallet af personer med domæneadministrator-rettigheder, indtil opdateringen er gennemført.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke kan verificere jeres version eller opsætning, eller hvis I finder tegn på misbrug.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Serv-U til den nyeste version og gennemgår jeres domæneadministrator-konti, så snart det er praktisk muligt, gerne inden for den kommende uge. Er jeres Serv-U-installation kørende på Windows uden delegerede domæneadministratorer, er risikoen lavere, og det kan i så fald forsvares at vente til næste planlagte vedligeholdelsesvindue. Har I derimod flere domæneadministratorer eller en ikke-Windows-opsætning, bør opdateringen have førsteprioritet.
Tidslinje
Konkrete eksempler
Kompromitteret domæneadministrator-konto hos en dansk logistikvirksomhed
En dansk logistikvirksomhed bruger Serv-U til at udveksle filer med samarbejdspartnere og har oprettet flere domæneadministrator-konti til eksterne afdelinger. En af disse konti kompromitteres via et phishing-angreb. Angriberen udnytter adgangskontrolfejlen til at oprette en ny systemadministrator-konto og får derved fuld kontrol over hele Serv-U-installationen, herunder alle filer og de øvrige domæners konti.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I bruger SolarWinds Serv-U og har oprettet en eller flere domæneadministrator-konti. Tjek jeres brugeropsætning og opdatér til nyeste version for at være sikre.
Hvordan tjekker vi, om vores installation er sårbar?
Gå ind i Serv-U’s administrationsværktøj og se hvilken version, der er installeret. Sammenhold den med SolarWinds’ seneste sikkerhedsrådgivning for Serv-U, og opdatér hvis I ikke allerede kører den rettede version.
Kan vi vente til weekenden med at opdatere?
Hvis I kun har Windows-baserede installationer uden mange domæneadministratorer, er risikoen begrænset, og det kan forsvares at vente til et planlagt vedligeholdelsesvindue. Har I flere domæneadministratorer eller ikke-Windows-drift, bør I opdatere hurtigere.
Skal vi anmelde noget, hvis vi finder tegn på misbrug?
Finder I uventede systemadministrator-konti eller andre tegn på misbrug, skal I behandle det som et sikkerhedsbrud, sikre bevismateriale og vurdere, om det udløser anmeldelsespligt efter GDPR, hvis persondata er berørt.
Hvem har typisk domæneadministrator-rettigheder, vi bør se på?
Det er ofte it-medarbejdere eller eksterne samarbejdspartnere, der administrerer et bestemt domæne eller kundeafdeling i Serv-U. Gennemgå listen og fjern konti, der ikke længere er i brug.
Påvirker sårbarheden andre SolarWinds-produkter?
Nej, sårbarheden er specifik for SolarWinds Serv-U og dens håndtering af rettigheder mellem domæneadministrator og systemadministrator.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SolarWinds Serv-U is affected by a broken access control vulnerability that allows a domain administrator to create system administrator accounts. The impact is lower in Windows deployments.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.