SolarWinds Serv-U CVE-2026-28318: CISA setzt aktiv ausgenutzte DoS-Lücke auf KEV-Liste – Patchfrist 19. Juni

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat am 5. Juni 2026 die Schwachstelle CVE-2026-28318 in SolarWinds Serv-U File Transfer Software in ihr Known Exploited Vulnerabilities Catalog (KEV) aufgenommen. Die Lücke ermöglicht unauthentifizierten Angreifern, den Serv-U-Dienst durch einen gezielt präparierten HTTP-POST-Request zum Absturz zu bringen. Da die Schwachstelle bereits aktiv ausgenutzt wird, gilt für US-Bundesbehörden eine verbindliche Patchfrist bis zum 19. Juni 2026. SolarWinds hat den notwendigen Hotfix bereits am 3. Juni 2026 bereitgestellt.

Die Schwachstelle im Detail

CVE-2026-28318 ist als Uncontrolled Resource Consumption (CWE-400) klassifiziert und betrifft die SolarWinds Serv-U File Transfer Software in allen Versionen vor 15.5.4 Hotfix 1. Das Angriffsszenario ist technisch einfach: Ein Angreifer sendet einen HTTP-POST-Request mit dem Header Content-Encoding: deflate an einen verwundbaren Serv-U-Server. Ohne jede Authentifizierung verbraucht der Dienst daraufhin übermäßige Ressourcen und stürzt ab – ein klassischer Denial-of-Service-Angriff.

Die KEV-Aufnahme durch CISA bestätigt, dass dieser Angriffsvektor nicht nur theoretischer Natur ist. Angreifer nutzen die Lücke bereits aktiv aus, was den Druck auf betroffene Organisationen, umgehend zu handeln, erheblich erhöht.

Bin ich betroffen?

Betroffen ist SolarWinds Serv-U File Transfer Software in allen Versionen vor 15.5.4 Hotfix 1. Organisationen, die Serv-U für SFTP- oder FTPS-Dateiübertragung einsetzen, sollten die installierte Version unverzüglich prüfen. Serv-U ist weit verbreitet in Unternehmensumgebungen und MSP-Infrastrukturen, wo regulierter Dateitransfer – etwa für Finanz- oder Gesundheitsdaten – über das Produkt abgewickelt wird.

Die Versionsnummer lässt sich in der Serv-U-Verwaltungskonsole unter den Systeminformationen ablesen. Administratoren, die noch keine Versionsprüfung durchgeführt haben, sollten dies unmittelbar nachholen.

Wie behebe ich das?

SolarWinds empfiehlt das sofortige Update auf Serv-U 15.5.4 Hotfix 1, der am 3. Juni 2026 veröffentlicht wurde. Der Hotfix steht im SolarWinds Customer Portal zum Download bereit und schließt die Schwachstelle vollständig.

Für Umgebungen, in denen ein sofortiges Update nicht möglich ist, empfiehlt CISA folgende Workarounds als Übergangslösung:

1. Eingehende Verbindungen auf bekannte, vertrauenswürdige IP-Adressen beschränken
2. HTTP-Requests mit dem Content-Encoding-Header auf Firewall- oder WAF-Ebene blockieren

Diese Maßnahmen reduzieren die Angriffsfläche, ersetzen aber keinen vollständigen Patch. Grundlegende Absicherungsmaßnahmen für exponierte Dienste, etwa der Einsatz einer Firewall oder die Einschränkung externer Erreichbarkeit, beschreibt die s-edv.com-Anleitung pfSense/OPNsense-Firewall: Erstkonfiguration.

Was bedeutet das für Unternehmen?

Serv-U ist in vielen DACH-Unternehmen als Dateiübertragungsserver im Einsatz, insbesondere dort, wo regulierte Daten – etwa Finanztransaktionen oder Patientenakten – über SFTP oder FTPS zwischen Systemen ausgetauscht werden. Ein Absturz des Dienstes unterbricht kritische Geschäftsprozesse direkt und kann Compliance-relevante Ausfallzeiten verursachen.

Darüber hinaus ist ein Denial-of-Service-Angriff nicht zwingend das eigentliche Ziel: In mehrstufigen Angriffsszenarien dient das Absturzbringen eines Dienstes häufig als Ablenkungsmanöver oder als Vorbereitung für weitergehende Angriffe. Die KEV-Aufnahme durch CISA signalisiert, dass die Schwachstelle von realen Bedrohungsakteuren aktiv eingesetzt wird – nicht nur als Proof-of-Concept.

Für US-Bundesbehörden (Federal Civilian Executive Branch, FCEB) ist der Patch bis 19. Juni 2026 verpflichtend. CISA empfiehlt ausdrücklich, dass auch private Organisationen und Unternehmen außerhalb des US-Bundesbereichs die Patchfrist als Orientierung nutzen und entsprechend priorisieren. Angesichts der einfachen Ausnutzbarkeit – kein Benutzerkonto, ein einzelner HTTP-Request – ist das Risiko auch für kleinere Organisationen als hoch einzustufen.

Wer die Angriffsfläche grundlegend reduzieren möchte, sollte prüfen, ob der Serv-U-Dienst tatsächlich aus dem Internet erreichbar sein muss, oder ob ein VPN-Tunnel als vorgelagerter Zugriffsschutz sinnvoll wäre. Wie ein solcher Tunnel eingerichtet wird, zeigt die Anleitung WireGuard VPN für Homeoffice und Standortanbindung. Zur allgemeinen Serverhärtung, die auch die Absicherung exponierter Dienste umfasst, empfiehlt sich zudem die Anleitung Linux-Server absichern mit UFW und Fail2ban.

Quellen

1. The Hacker News: CISA Adds Actively Exploited SolarWinds Serv-U DoS Flaw to KEV Catalog
2. Help Net Security: CISA – Patch actively exploited SolarWinds Serv-U DoS vulnerability CVE-2026-28318
3. SecurityWeek: SolarWinds Serv-U Vulnerability Exploited in the Wild
4. CyberSecurityNews: CISA Warns of SolarWinds Serv-U Vulnerability Exploited in Attacks