Alerta de alta severidade em SolarWinds Serv U com exploração ativa e risco de DoS

A agência federal norte-americana CISA incluiu em seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) uma falha de alta gravidade que afeta SolarWinds Serv-U, o servidor de transferência de arquivos multi-protocolo, após evidências de exploração ativa. Trata-se de uma vulnerabilidade de consumo incontrolado de recursos que pode provocar a queda do serviço sob certas solicitações HTTP especificamente formadas, o que deriva numa condição de recusa de serviço (DoS).

O erro, registrado como CVE-2026-28318 e valorizado com escore CVSS de 7.5, permite que pedidos POST com Content-Encoding: deflate Façam com que o processo de Serv-U se desmoronasse sem necessidade de autenticação. SolarWinds resolveu o problema na versão 15.5.4 HF1, mas a inclusão na lista KEV indica que há atividade maliciosa real, pelo que a prioridade de mitigação deve ser alta para operadores de Serv-U.

Este incidente não deve ser lido isoladamente: Serv-U tem sido alvo recorrente em campanhas anteriores e foi aproveitado por grupos de ransomware e outros atores criminosos, o que converte qualquer novo vetor em um risco operacional relevante para organizações com fluxos regulares de troca de arquivos. A existência de exploração no mundo real implica que mesmo um impacto “apenas” de DoS pode se tornar alavanca para extorsão, distração de incidentes maiores ou interrupção de negócios.

As ações imediatas recomendadas por segurança são claras: priorizar a instalação do adesivo oficial (atualizar a Serv-U 15.5.4 HF1) e, se não for possível aplicar a atualização de imediato, implementar mitigações em perímetro. Limitar o acesso ao serviço por listas de controlo de acesso, bloquear a nível de proxy ou WAF pedidos que incluam cabeçalhos Content-Encoding Quando o serviço não requer, e aplicar regras de taxa/limite de ligações para reduzir o risco de consumo de recursos.

Antes de aplicar bloqueios amplos em cabeçalhos, as organizações devem validar que não haja clientes legítimos que dependam desse encadeamento; um bloqueio indiscriminado em proxies ou balanceadores pode interromper integrações válidas. Como alternativa temporária, ativar regras no IPS/WAF para detectar e negar apenas os padrões maliciosos observados, e redundar o serviço crítico por trás de um balanceador com políticas de timeouts e limites de concorrente.

Da perspectiva de detecção e resposta, é importante instrumentar a monitorização: procurar nos registros do servidor e de rede POST incomuns com Content-Encoding: deflate, picos de processos Serv-U que consomem CPU/memoria, reinícios do serviço e padrões de solicitações anormais desde origens externas. Se se confirmar uma intrusão ou compromisso, isolar a instância afetada, preservar registros e seguir procedimentos de resposta a incidentes para investigar alcance e possíveis exfiltrações.

Para administradores que gerem múltiplas instâncias, realizar um inventário urgente de servidores Serv-U expostos à Internet e avaliar sua versão é crítico; ferramentas de digitalização externa podem detectar servidores acessíveis, mas estas devem ser usadas com autorização interna para não violar políticas. As autoridades federais estabeleceram um prazo de remediação para agências civis até 19 de junho de 2026, o que sublinha a necessidade de ação rápida em ambientes governamentais e privados.

A lição operacional continua a ser a mesma: manter um ciclo de adesivos efetivos, reduzir a exposição desnecessária de serviços à Internet, e combinar adesivos com atenuações de perímetro e visibilidade de tráfego. Para documentação e seguimento oficial, consultar a página de CISA sobre vulnerabilidades exploradas Known Exploited Vulnerabilities (KEV) e informações de produto do SolarWinds sobre Serv-U SolarWinds Serv-U. Para detalhes técnicos e registro do CVE, o NIST/NVD mantém fichas públicas por vulnerabilidade CVE-2026-28318.