Alerta de alta severidad en SolarWinds Serv U con explotación activa y riesgo de DoS

La agencia federal estadounidense CISA ha incluido en su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) una falla de alta severidad que afecta a SolarWinds Serv-U, el servidor de transferencia de archivos multi-protocolo, tras evidencias de explotación activa. Se trata de una vulnerabilidad de consumo incontrolado de recursos que puede provocar la caída del servicio bajo ciertas peticiones HTTP específicamente formadas, lo que deriva en una condición de denegación de servicio (DoS).

El fallo, registrado como CVE-2026-28318 y valorado con un puntaje CVSS de 7.5, permite que solicitudes POST con Content-Encoding: deflate hagan que el proceso de Serv-U se derrumbe sin necesidad de autenticación. SolarWinds resolvió el problema en la versión 15.5.4 HF1, pero la inclusión en la lista KEV indica que hay actividad maliciosa real, por lo que la prioridad de mitigación debe ser alta para operadores de Serv-U.

Este incidente no debe leerse de forma aislada: Serv-U ha sido objetivo recurrente en campañas anteriores y ha sido aprovechado por grupos de ransomware y otros actores delictivos, lo que convierte cualquier nuevo vector en un riesgo operativo relevante para organizaciones con flujos regulares de intercambio de archivos. La existencia de explotación en el mundo real implica que incluso un impacto “solo” de DoS puede convertirse en palanca para extorsión, distracción de incidentes mayores o interrupción de negocio.

Las acciones inmediatas recomendadas por seguridad son claras: priorizar la instalación del parche oficial (actualizar a Serv-U 15.5.4 HF1) y, si no es posible aplicar la actualización de inmediato, implementar mitigaciones en perímetro. Limitar el acceso al servicio mediante listas de control de acceso, bloquear a nivel de proxy o WAF peticiones que incluyan cabeceras Content-Encoding cuando el servicio no las requiere, y aplicar reglas de tasa/limite de conexiones para reducir el riesgo de consumo de recursos.

Antes de aplicar bloqueos amplios en cabeceras, las organizaciones deben validar que no haya clientes legítimos que dependan de ese encadenamiento; un bloqueo indiscriminado en proxies o balanceadores puede interrumpir integraciones válidas. Como alternativa temporal, activar reglas en IPS/WAF para detectar y negar solo los patrones maliciosos observados, y redundar el servicio crítico detrás de un balanceador con políticas de timeouts y límites de concurrencia.

Desde la perspectiva de detección y respuesta, es importante instrumentar el monitoreo: buscar en los registros del servidor y de red POST inusuales con Content-Encoding: deflate, picos de procesos Serv-U que consumen CPU/memoria, reinicios del servicio y patrones de solicitudes anómalas desde orígenes externos. Si se confirma una intrusión o compromiso, aislar la instancia afectada, preservar registros y seguir procedimientos de respuesta a incidentes para investigar alcance y posibles exfiltraciones.

Para administradores que gestionan múltiples instancias, realizar un inventario urgente de servidores Serv-U expuestos a Internet y evaluar su versión es crítico; herramientas de escaneo externo pueden detectar servidores accesibles, pero éstas deben emplearse con autorización interna para no violar políticas. Las autoridades federales han fijado un plazo de remediación para agencias civiles hasta el 19 de junio de 2026, lo que subraya la necesidad de acción rápida en entornos gubernamentales y privados.

La lección operativa continúa siendo la misma: mantener un ciclo de parcheo efectivo, reducir la exposición innecesaria de servicios a Internet, y combinar parches con mitigaciones de perímetro y visibilidad de tráfico. Para documentación y seguimiento oficial pueden consultarse la página de CISA sobre vulnerabilidades explotadas Known Exploited Vulnerabilities (KEV) y la información de producto de SolarWinds sobre Serv-U SolarWinds Serv-U. Para detalles técnicos y el registro del CVE, el NIST/NVD mantiene fichas públicas por vulnerabilidad CVE-2026-28318.