CVE-2026-28312: Kritisk rettighedsfejl i SolarWinds Serv-U
Fejl i SolarWinds Serv-U kan give en allerede oprettet bruger fulde root-rettigheder. Opdatér til den rettede version.
Hvad er det?
SolarWinds Serv-U er et program til fil- og FTP-overførsel, som mange virksomheder bruger til at dele filer sikkert med kunder og samarbejdspartnere. CVE-2026-28312 er en fejl i rettighedsstyringen (CWE-285: mangelfuld autorisationskontrol), hvor en bruger, der allerede har adgang til en gruppe i systemet, kan hæve sine rettigheder til systemadministrator. På Linux-servere betyder det, at brugeren kan udføre kode som root, altså med fuld kontrol over serveren. På Windows er skaden mindre, fordi Windows begrænser, hvad root-lignende rettigheder kan gøre.
Hvem rammer det?
Alle virksomheder og kommuner, der kører SolarWinds Serv-U til filoverførsel, er potentielt ramt. Risikoen er størst for installationer på Linux eller Unix, hvor en udnyttelse giver fuld root-adgang til serveren. Windows-installationer er også ramt, men konsekvensen er mindre alvorlig. Da NVD ikke angiver konkrete versionsnumre, bør I tjekke jeres installerede version mod SolarWinds’ officielle sikkerhedsbulletin for Serv-U.
Hvad kan ske?
Har en angriber først fået adgang til en gruppe i Serv-U, for eksempel via et stjålet eller svagt medarbejderkodeord, kan fejlen bruges til at hæve sig til systemadministrator. Derfra kan angriberen læse og ændre alle filer på serveren, installere skadelig kode, oprette bagdøre og bruge serveren som springbræt videre ind i jeres netværk. For en dansk virksomhed betyder det risiko for datalæk, driftsstop og i værste fald spredning af ransomware til resten af infrastrukturen.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at en bruger klikker på noget (ingen brugerinteraktion), og kan udføres over netværket med lav teknisk kompleksitet. Til gengæld kræver det, at angriberen allerede har høje rettigheder i form af en gyldig konto med gruppeadgang (PR:H). Det gør fejlen mest kritisk, hvis I allerede har svage adgangskoder eller mange brugere med adgang til Serv-U. Der er ingen oplysninger om, at fejlen er udnyttet i praksis, og der er ikke offentliggjort et konkret angrebsværktøj.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse risikoen, mens I venter på eller installerer opdateringen:
- Opdatér SolarWinds Serv-U til den version, som SolarWinds’ sikkerhedsbulletin angiver som rettet. Dette lukker selve fejlen.
- Gennemgå alle brugere og grupper i Serv-U, og fjern eller begræns konti, der ikke har brug for adgang.
- Skift adgangskoder for konti med gruppeadgang, især hvis I har genbrugte eller svage kodeord.
- Isolér Serv-U-serveren fra kritiske systemer, så en eventuel kompromittering ikke kan spredes videre i netværket.
- Gennemgå logfiler for uventede rettighedsændringer eller mislykkede loginforsøg i perioden op til opdateringen.
- Kontakt en sikkerhedsrådgiver, hvis I kører Serv-U på Linux og ikke kan opdatere inden for kort tid, eller hvis I finder tegn på misbrug.
Opdatér inden for 7 dage
Vi anbefaler, at I opdaterer Serv-U til den rettede version så hurtigt som muligt, især hvis serveren kører på Linux eller Unix, hvor konsekvensen af fejlen er størst. Det er kun forsvarligt at vente få dage, hvis I samtidig begrænser adgangen til Serv-U og skærper kontrollen med brugerkonti i mellemtiden. Har I mange eksterne brugere med gruppeadgang, bør opdateringen prioriteres højere end en almindelig sikkerhedsopdatering.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto i en kommune
En dansk kommune bruger Serv-U på en Linux-server til at udveksle filer med eksterne leverandører. En medarbejders adgangskode bliver stjålet via phishing, og angriberen logger ind med gruppeadgang. Ved at udnytte CVE-2026-28312 hæver angriberen sig til root og får fuld kontrol over serveren, hvorfra der kan hentes fortrolige borgerdata.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører SolarWinds Serv-U til fil- eller FTP-overførsel. Tjek jeres installerede version mod SolarWinds’ sikkerhedsbulletin for at se, om den er sårbar.
Hvordan tjekker vi, om vores Serv-U er sårbar?
Log på Serv-U’s administrationskonsol og se versionsnummeret. Sammenlign det med den version, SolarWinds angiver som rettet i deres sikkerhedsbulletin for CVE-2026-28312.
Kan vi vente til weekenden med at opdatere?
Det kan I, hvis I i mellemtiden begrænser adgangen til Serv-U og gennemgår, hvem der har adgang til grupper i systemet. Kør I Serv-U på Linux med mange brugere, bør I prioritere opdateringen før weekenden.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ikke brugerinteraktion, men det kræver, at angriberen allerede har en konto med gruppeadgang i Serv-U. Uden en sådan konto kan fejlen ikke udnyttes.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at fejlen er blevet udnyttet, for eksempel uventede rettighedsændringer eller ukendte administratorkonti. Så bør I følge jeres normale procedure for anmeldelse til Datatilsynet.
Er Windows-installationer også i fare?
Ja, men konsekvensen er mindre, fordi Windows begrænser, hvad de hævede rettigheder kan bruges til. I bør stadig opdatere, men Linux-installationer bør prioriteres først.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SolarWinds Serv-U is affected by a privilege escalation vulnerability. This would elevate a group’s access to system administrator and allow code execution as root. The impact is lower in Windows deployments.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.