CVE-2026-28314: Kritisk kontoovertagelse i SolarWinds Serv-U

CVE-2026-28314 er en sårbarhed i SolarWinds Serv-U, en løsning til filoverførsel via FTP og SFTP, som mange virksomheder bruger til at dele filer med kunder og leverandører. Fejlen kaldes en insecure direct object reference: systemet kontrollerer ikke ordentligt, om en bruger har ret til at tilgå en given ressource, kun om id’et i forespørgslen findes. En bruger, der allerede har en gyldig konto på serveren, kan derfor ændre et id i en forespørgsel og få adgang til eller overtage en anden brugers konto, uden at den ramte bruger skal foretage sig noget. Fejlen kræver ingen speciel handling fra offeret, men angriberen skal have en konto på systemet i forvejen. Effekten er mindre på installationer, der kører på Windows, end på andre platforme.

Sårbarheden rammer virksomheder og kommuner, der har SolarWinds Serv-U opsat til filoverførsel, typisk til udveksling af filer med eksterne samarbejdspartnere. Det er relevant for organisationer, hvor flere brugere, herunder eksterne konti, har adgang til samme Serv-U-server. Konkrete rettede versioner er ikke angivet i den offentliggjorte NVD-beskrivelse, så I skal tjekke SolarWinds’ egen sikkerhedsbulletin for at se, om jeres version er ramt, og hvilken version der lukker hullet.

En angriber med en almindelig brugerkonto kan overtage en anden brugers konto, herunder potentielt en konto med administratorrettigheder. Det giver adgang til alle filer, den overtagne konto kan se, og mulighed for at ændre eller slette data. For en dansk virksomhed kan det betyde, at fortrolige dokumenter fra kunder eller leverandører bliver læst eller lækket, og at den overtagne konto bruges som springbræt til resten af netværket.

CVSS-scoren er 9,1 af 10, hvilket er kritisk. Angrebet kræver netværksadgang og lav teknisk kompleksitet, men kræver også, at angriberen allerede har en gyldig konto med høje rettigheder på systemet (PR:H). Der kræves ingen handling fra offeret. Fordi omfanget af skaden går ud over den sårbare komponent selv (scope changed), kan konsekvenserne sprede sig til hele installationen. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på offentliggørelsesdatoen.

Gør følgende i prioriteret rækkefølge:

1. Opdatér SolarWinds Serv-U til den version, leverandøren angiver som rettet i deres sikkerhedsbulletin for CVE-2026-28314.
2. Gennemgå brugerkonti på serveren, og fjern eller nulstil konti, der ikke længere er i brug.
3. Tjek logfiler for usædvanlige forespørgsler med ændrede id’er eller uventede kontoskift.
4. Begræns hvilke brugere der har adgang til Serv-U, og fjern unødvendige rettigheder, indtil opdateringen er gennemført.
5. Overvej at isolere Serv-U-serveren fra internettet, hvis opdatering ikke kan ske med det samme.
6. Kontakt en it-sikkerhedspartner, hvis I ikke selv har ressourcer til at verificere version og gennemføre opdateringen.