Jedno spreparowane żądanie z kompresją deflate zatrzymuje usługę Serv-U, bez hasła i bez udziału użytkownika. CISA potwierdza ataki. Sama wersja 15.5.4 nie wystarcza, potrzebny jest Hotfix 1.
Ten alert jest dla zarządu, CTO i CFO firm, które wymieniają pliki z kontrahentami przez serwer SolarWinds Serv-U. Werdykt: jeśli Serv-U działa w wersji 15.5.4 lub starszej bez poprawki Hotfix 1, zainstaluj ją dziś, bo luka pozwala każdemu z dostępem sieciowym wyłączyć serwer, a CISA potwierdza jej wykorzystywanie.
Amerykańska agencja CISA 5 czerwca 2026 roku dopisała podatność CVE-2026-28318 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SolarWinds Serv-U, serwera transferu plików (FTP/SFTP/HTTPS), przez który firmy wymieniają dokumenty z partnerami, często automatycznie.
Ta luka nie daje dostępu do plików. Specjalnie przygotowane żądanie POST z nagłówkiem Content-Encoding: deflate (informującym, że treść jest skompresowana) powoduje awarię usługi Serv-U. Serwer przestaje działać, a z nim cała wymiana plików. Atak nie wymaga logowania.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 19 czerwca 2026 roku, czyli około trzech miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-28318 |
Data dodania do CISA KEV | 2026-06-05 |
Termin naprawy wg CISA | 2026-06-19 (14 dni od wpisu) |
Produkt | SolarWinds Serv-U (serwer transferu plików, Windows i Linux) |
Wersje zagrożone | Serv-U 15.5.4 i wcześniejsze. Uwaga: NVD wskazuje osobno, że podatna jest także sama wersja 15.5.4 bez poprawki |
Wersje bezpieczne | Serv-U 15.5.4 Hotfix 1 (poprawka dokładana do wersji 15.5.4 bez zmiany jej numeru). Nowszych wydań źródła nie wymieniają |
Typ podatności | Odmowa usługi (awaria serwera); CWE-400 (niekontrolowane zużycie zasobów) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, ocena producenta podana w NVD). Atak przez sieć, bez logowania, bez udziału użytkownika. Wpływ: poufność brak, integralność brak, dostępność wysoki |
Wyobraź sobie firmowy dział przyjmowania zamówień. Ktoś z zewnątrz wrzuca do skrzynki podawczej małą, zapieczętowaną kopertę z dopiskiem „rozpakuj i przepisz”. W środku jest zwinięta taśma, która po rozwinięciu ma kilometr długości. Pracownik zgodnie z procedurą zaczyna ją rozwijać i przepisywać, blokuje całe stanowisko, a kolejne zamówienia od prawdziwych klientów leżą nieobsłużone. Nikt niczego nie ukradł, ale dział stoi.
Tak działa ta luka. Kompresja jest z natury asymetryczna: kilka kilobajtów po rozpakowaniu może zamienić się w wielokrotnie większą porcję danych. Serv-U próbował obsłużyć takie żądanie i przewracał się. Ocena 7,5 zamiast 9,8 nie oznacza „mniej pilne”, tylko „inny rodzaj szkody”: uderzenie w dostępność, czyli w to, na czym opiera się automatyczna wymiana dokumentów.
💡 Odmowa usługi (DoS) to atak, którego celem nie jest kradzież, tylko unieruchomienie systemu. Content-Encoding: deflate to informacja w żądaniu internetowym, że jego treść jest skompresowana algorytmem deflate. Hotfix to poprawka dokładana do już wydanej wersji programu, bez zmiany numeru wersji. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Partner wgrywa nocny plik z zamówieniami | Plik trafia na serwer, system go pobiera | Serwer może nie działać, plik nie dociera |
Ktoś z internetu wysyła spreparowane żądanie | Serwer odrzuca je lub obsługuje bez skutków | Usługa Serv-U ulega awarii, bez logowania napastnika |
Sprawdzenie wersji przez dział IT | Numer wersji mówi, czy system jest aktualny | Wersja 15.5.4 wygląda na aktualną, a bez Hotfix 1 jest podatna |
Obsługa klienta w czasie awarii | Pracuje w systemie | Zbiera zamówienia mailem i telefonem, przepisuje ręcznie |
Dane firmy | Pozostają w kontrolowanym kanale | Pracownicy zaczynają wysyłać pliki prywatną pocztą i komunikatorami |
źródło: Pexels, Nandhu KumarPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako możliwy do pełnej automatyzacji, a jego skutek techniczny jako częściowy: napastnik wyłącza usługę, ale nie przejmuje serwera.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie w internecie serwerów Serv-U i odczyt wersji | Lista celów |
2. Atak | T+1 min | Wysłanie spreparowanego żądania POST z kompresją deflate, bez logowania | Awaria usługi Serv-U |
3. Powtórka | T+5 min i dalej | Ponawianie żądania po każdym restarcie usługi | Serwer praktycznie niedostępny przez godziny |
4. Skutek biznesowy | T+kilka godzin | Brak automatycznej wymiany plików z partnerami | Opóźnione zamówienia, wysyłki i rozliczenia |
5. Presja | T+1 do 3 dni | Możliwe żądanie zapłaty za zaprzestanie ataków albo odwrócenie uwagi od innych działań w sieci | Straty i chaos operacyjny |
Mogę Ci jakoś pomóc?
Serwer transferu plików często działa latami bez opieki, a zależą od niego zamówienia, faktury i raporty wymieniane z partnerami. Luka nie wykrada danych, ale zatrzymuje proces, na którym firma zarabia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymana automatyczna wymiana plików, ręczne przepisywanie zamówień, opóźnione wysyłki | Minuty od ataku | 10 tys. do 80 tys. PLN za każdy dzień przestoju |
Bezpieczeństwo danych | Sama luka nie ujawnia danych, ale obejścia pracowników (prywatna poczta, pendrive) rozpraszają dokumenty | Godziny do dni | 5 tys. do 40 tys. PLN (porządkowanie i analiza) |
Finansowy | Kary umowne za opóźnienia, nadgodziny, błędy przy ręcznym wprowadzaniu | Dni do tygodni | 20 tys. do 150 tys. PLN |
Reputacyjny | Kontrahenci tracą zaufanie do niezawodności dostaw | Tygodnie | 20 tys. do 200 tys. PLN (utracone zlecenia) |
Prawny | Sama awaria zwykle nie jest naruszeniem RODO, ale wysłanie danych osobowych niezabezpieczonym kanałem może nim być; wtedy możliwa kara do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności) i obowiązek zgłoszenia do UODO w 72 godziny | Dni | 5 tys. do 50 tys. PLN (prawnicy, analiza), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Serv-U 15.5.4 bez Hotfix 1
dostępnego z internetu
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (ataki potwierdzone przez CISA, brak logowania, pełna automatyzacja), a wpływ średni, bo luka zatrzymuje usługę, ale nie ujawnia ani nie zmienia danych; dla firmy, której sprzedaż zależy od wymiany plików, skutek biznesowy może być jednak dotkliwy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Serv-U i listę zainstalowanych poprawek; samo „15.5.4” nie wystarcza | Dziś | Administrator serwera |
2 | 🔴 NATYCHMIAST | Zainstalować Serv-U 15.5.4 Hotfix 1 | Dziś | Administrator serwera / partner IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa: wdrożyć kroki ograniczające ryzyko opisane przez producenta w SolarWinds Trust Center | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Ograniczyć dostęp do Serv-U z internetu do adresów stałych kontrahentów albo przez VPN | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Włączyć monitorowanie dostępności z powiadomieniem, gdy usługa przestanie odpowiadać | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Ustalić i spisać jeden awaryjny kanał wymiany plików na czas przestoju | Do 30 dni | Kierownik obsługi klienta / CTO |
7 | 🟡 WAŻNIE | Przypisać imiennie osobę odpowiedzialną za Serv-U i za czytanie komunikatów producenta | Do 30 dni | CTO |
Producent wydał poprawkę (Serv-U 15.5.4 Hotfix 1), więc docelowo trzeba ją zainstalować. Do tego czasu pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Kroki ograniczające ryzyko z SolarWinds Trust Center (zalecenie producenta) | Wysoka, jeśli wdrożone w całości | Średnia: wymaga zmian konfiguracji |
Dostęp do Serv-U tylko z adresów znanych kontrahentów lub przez VPN | Wysoka: z całego internetu robi się wąska lista | Średnia: trzeba zebrać adresy partnerów |
Monitorowanie dostępności i automatyczny restart usługi | Niska jako ochrona, skraca przestój | Łatwa |
Awaryjny kanał wymiany plików ustalony z góry | Nie chroni serwera, ogranicza chaos i rozpraszanie danych | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Odporność serwera | Jedno żądanie z internetu wyłącza usługę | Poprawka usuwa błąd |
Kto może zaatakować | Każdy, kto widzi serwer w sieci | Tylko znani kontrahenci (przy ograniczeniu dostępu) |
Wykrycie awarii | Rano, gdy partnerzy dzwonią | W ciągu minut, dzięki monitorowaniu |
Zachowanie pracowników przy awarii | Improwizacja: prywatna poczta, pendrive | Jeden ustalony kanał zastępczy |
Zgodność z terminem CISA | Zaległość od 19 czerwca 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA ocenia atak jako możliwy do automatyzacji, skutek techniczny jako częściowy |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, producent), wyłącznie wpływ na dostępność |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 8% szansy próby wykorzystania w najbliższym czasie (wg analizy źródłowej) |
Inne rejestry | Europejska baza ENISA: EUVD-2026-34268 |
Sygnały zagrożenia dla CVE-2026-28318
CVSS 3.1 (producent) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (wg źródła) ~8% ██░░░░░░░░░░░░░░░░░░ NISKA/ŚREDNIA
CISA KEV TAK ████████████████████ ataki potwierdzone
Logowanie wymagane? NIE ████████████████████ każdy z dostępem
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-06-04 Publikacja CVE-2026-28318 (NVD)
2026-06-05 CISA dodaje lukę do katalogu KEV (jedyna pozycja tego dnia)
2026-06-19 Termin naprawy wg CISA dla agencji federalnych
2026-07-22 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... około 3 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z krokami ograniczającymi ryzyko: solarwinds.com/trust-center/security-advisories/cve-2026-28318 . Informacje o poprawce: Serv-U 15.5.4 Hotfix 1, release notes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-28318 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa SolarWinds Serv-U | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź w formie „wersja X z poprawką Y”, a nie „jest aktualne” | CTO | DZISIAJ |
3 | Zatwierdzić instalację Hotfix 1 lub kroki producenta, jeśli poprawki nie ma | CTO | DZISIAJ |
4 | Zlecić ograniczenie dostępu do serwera do znanych kontrahentów | CTO | DO JUTRA |
5 | Zlecić monitorowanie dostępności serwera z powiadomieniem | CTO | DO JUTRA |
6 | Policzyć koszt jednego dnia bez wymiany plików (praca ręczna, kary umowne, opóźnienia) | CFO | DO JUTRA |
7 | Sprawdzić, czy umowy z kontrahentami przewidują kary za opóźnienia wynikające z awarii IT | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka dokładnie wersja Serv-U działa u nas i czy zainstalowano 15.5.4 Hotfix 1? | [wersja i poprawka] | 🔴 |
2 | Kiedy zainstalowano poprawkę lub kroki ograniczające ryzyko producenta? | [data] | 🔴 |
3 | Czy Serv-U jest dostępny z całego internetu? | TAK / NIE | 🔴 |
4 | Czy w logach od czerwca 2026 są nieoczekiwane restarty lub awarie usługi Serv-U? | TAK / NIE | 🟠 |
5 | Czy mamy monitorowanie, które powiadomi nas w ciągu minut o niedostępności serwera? | TAK / NIE | 🟠 |
6 | Którzy kontrahenci i systemy zależą od Serv-U i jaki jest awaryjny kanał wymiany plików? | [lista] | 🟡 |
7 | Kto imiennie odpowiada za Serv-U i śledzi komunikaty SolarWinds? | [imię i nazwisko] | 🟡 |
CVE-2026-28318 pozwala każdemu z dostępem sieciowym wyłączyć serwer SolarWinds Serv-U jednym spreparowanym żądaniem, bez logowania. Luka nie wykrada danych, ale zatrzymuje wymianę plików z kontrahentami, a CISA potwierdza jej wykorzystywanie. Kluczowe jest sprawdzenie nie tylko wersji, ale obecności poprawki 15.5.4 Hotfix 1, oraz ograniczenie dostępu do serwera.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.