SolarWinds Serv-U: cuatro vulnerabilidades críticas corregidas que podrían otorgar acceso root a un atacante

SolarWinds ha publicado una actualización para su software Serv-U que corrige cuatro vulnerabilidades críticas de ejecución remota de código (RCE) que, en servidores no parcheados, podrían terminar dando a un atacante control con privilegios máximos. Serv-U es la solución de transferencia de ficheros que muchas organizaciones mantienen en sus propias instalaciones tanto en Windows como en Linux, y que ofrece servicios MFT, FTP, FTPS, SFTP y HTTP/S para mover información sensible entre sistemas.

La corrección más relevante llega en la versión 15.5.4 y remedia un fallo grave identificado como CVE-2025-40538. Según la nota oficial de SolarWinds, este defecto permite a usuarios con privilegios elevados crear cuentas administrativas del sistema y ejecutar código con permisos de root o administrador, algo que facilita la completa toma de control de la máquina afectada. Puede consultar los detalles y las instrucciones de actualización en la página de notas de la versión de SolarWinds: documentación oficial de SolarWinds.

Además de CVE-2025-40538, la actualización corrige dos fallos de type confusion y una vulnerabilidad de tipo IDOR (Insecure Direct Object Reference) que también pueden derivar en ejecución de código con privilegios de root si se explotan con éxito. Lo importante desde un punto de vista operativo es que, de momento, todas estas vulnerabilidades requieren que el atacante ya tenga acceso con altos privilegios en el servidor objetivo, lo que limita —pero no elimina— el riesgo: es factible que un adversario encadene estas fallas con otras vulnerabilidades o utilice credenciales administrativas previamente comprometidas para llegar a ese punto.

La superficie expuesta en Internet no es pequeña: búsquedas públicas alcanzan cifras que varían ampliamente según la metodología del escaneo. Por ejemplo, Shodan muestra más de 12.000 instancias de Serv-U accesibles desde la red pública, mientras que el recuento de Shadowserver, que aplica criterios distintos, sitúa ese número por debajo de 1.200. Esa discrepancia no indica que una fuente sea errónea, sino que refleja diferencias en cómo y cuándo se detectan y catalogan servicios expuestos. Puede comprobar las métricas en Shodan y en el panel de Shadowserver: Shodan — Serv-U y Shadowserver — estadísticas.

Que el software de transferencia de archivos sea un objetivo atractivo no es una sorpresa: este tipo de herramientas concentra documentos corporativos y datos de clientes, y un servidor comprometido facilita la exfiltración masiva o el despliegue de cifradores de ransomware. Históricamente, actores delictivos y grupos patrocinados por estados han explotado vulnerabilidades en Serv-U. Un ejemplo notable fue CVE-2021-35211, que fue aprovechada por bandas de ransomware y por grupos vinculados a operaciones orientadas a la exfiltración y vigilancia. Las agencias y equipos de respuesta siguen muy atentos a estos vectores de ataque.

En el mapa general de amenazas, las vulnerabilidades en productos de SolarWinds han tenido repercusiones repetidas; por eso entidades como la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) mantienen un seguimiento constante. Actualmente CISA lista varias vulnerabilidades de SolarWinds que han sido explotadas activamente: puede revisar su catálogo de vulnerabilidades conocidas explotadas en entornos reales aquí: CISA — Known Exploited Vulnerabilities.

Si administra servidores Serv-U, la primera acción debe ser actualizar cuanto antes a la versión que corrige estas fallas. Además de aplicar el parche, conviene reducir la exposición de los servicios: evitar publicar servidores de transferencia de archivos directamente a Internet, restringir accesos por IP, forzar autenticación multifactor donde sea posible y rotar credenciales administrativas. La segmentación de red y la monitorización específica de patrones inusuales en los logs ayudan a detectar intentos de uso indebido antes de que un problema menor se convierta en una brecha mayor.

Es importante recordar que la higiene básica de seguridad sigue siendo la barrera más efectiva: aplicar el principio de menor privilegio, revisar cuentas con permisos elevados y auditar accesos y cambios en la configuración. Si existe la posibilidad de que se hayan utilizado credenciales robadas, hay que ejecutar un proceso de contención y verificación forense, incluyendo la comprobación de integridad de binarios críticos, la revisión de tareas programadas y la detección de puertas traseras.

Por último, mantener una política de parcheo periódica y pruebas controladas de actualización reduce el tiempo de exposición a este tipo de fallos. Las organizaciones que dependen de Serv-U deberían incluir estas correcciones en su ciclo de gestión de vulnerabilidades y, si es necesario, buscar controles compensatorios (como reglas de firewall que bloqueen patrones de explotación conocidos) hasta que todas las instancias estén actualizadas.

La combinación de un parche publicado por el fabricante, el seguimiento de fuentes fiables y una respuesta proactiva en las operaciones de seguridad es la fórmula más efectiva para mitigar riesgos derivados de fallos tan críticos como los recientes en Serv-U. Para la información oficial sobre la actualización y los pasos recomendados, consulte la nota de SolarWinds y contraste con datos de detección de exposición en Shodan o Shadowserver.