SolarWinds Serv-U: CVE-2026-28318 derruba servidor com POST

O nome SolarWinds carrega um peso desde 2020 — quando a cadeia de fornecimento da empresa virou vetor para um dos ataques mais sofisticados já registrados contra agências federais americanas. Em 2026, o capítulo novo envolve o Serv-U, produto de transferência de arquivos da empresa: um único POST HTTP, sem autenticação, é suficiente para derrubar o serviço. A CISA confirmou exploração ativa e incluiu o CVE-2026-28318 no catálogo de vulnerabilidades exploradas no campo.

O que é o Serv-U

O SolarWinds Serv-U é um servidor de transferência de arquivos compatível com FTP, FTPS, SFTP e HTTPS. É usado por equipes de TI corporativas, provedores de serviços gerenciados e algumas agências governamentais para mover dados entre sistemas de forma controlada. A plataforma existe há décadas e tem base instalada expressiva, especialmente em ambientes Windows.

O que torna o Serv-U um alvo relevante para atacantes é exatamente essa característica: quem usa servidores de transferência de arquivo geralmente está movendo dados sensíveis — documentos fiscais, backups, arquivos de configuração, dados de clientes. Derrubar um Serv-U em produção pode interromper operações críticas ou, dependendo do contexto, ser a etapa de distração antes de um ataque mais elaborado.

Como o CVE-2026-28318 funciona

A vulnerabilidade é classificada como uncontrolled resource consumption — o servidor consome recursos descontroladamente ao processar certas requisições, até travar. O gatilho é direto: uma requisição HTTP POST com o header Content-Encoding: deflate.

O Serv-U não valida adequadamente esse header antes de tentar processar o corpo da requisição. Ao receber o deflate, o serviço começa a alocar recursos para descomprimir um payload que pode ter sido construído especificamente para explorar esse comportamento. O resultado é consumo excessivo de CPU e/ou memória, seguido de crash do processo.

Três aspectos tornam esse vetor especialmente preocupante:

• Sem autenticação. O atacante não precisa de credenciais — qualquer host com acesso à porta HTTP do Serv-U pode disparar o ataque.
• Exploração remota. Não é necessário estar na mesma rede.
• Reprodução simples. Uma única requisição mal-formada é suficiente, sem necessidade de encadear múltiplas vulnerabilidades.

O CVSS 3.1 da vulnerabilidade é 7.5 (High). Não é crítico no papel, mas a combinação de acesso remoto sem autenticação com impacto direto em disponibilidade colocou isso no radar da CISA rapidamente.

CISA KEV e prazo federal

A SolarWinds divulgou a vulnerabilidade em 3 de junho de 2026, no mesmo dia em que publicou o hotfix. Dois dias depois, em 5 de junho, a CISA já havia incluído o CVE-2026-28318 no catálogo de Known Exploited Vulnerabilities (KEV) — confirmando exploração ativa no campo, não apenas prova de conceito em laboratório. O Help Net Security e a Security Affairs reportaram a adição ao KEV em 8 de junho.

Para agências do governo federal americano (FCEB), o prazo para corrigir ou aplicar mitigações é 19 de junho de 2026. Para o setor privado, o KEV é uma recomendação forte: a presença no catálogo significa que o bug está sendo usado ativamente, não apenas demonstrado.

A rapidez entre publicação do advisory e exploração ativa é um padrão que se repete. A mesma dinâmica aconteceu com o CVE-2026-50751 no Check Point VPN, onde atacantes tiveram 31 dias de exploração antes mesmo do vendor iniciar a investigação interna.

12 mil servidores expostos no Shodan

O Shodan rastreia atualmente mais de 12.000 instâncias de Serv-U com acesso direto à internet. Esse número representa a superfície de ataque disponível para qualquer ator que queira derrubar serviços remotamente ou usar o DoS como parte de uma cadeia mais longa.

Um DoS em Serv-U não é, em si, um ponto de comprometimento de dados. Mas pode ser usado como:

• Distração durante um ataque a outro sistema no mesmo ambiente.
• Sabotagem operacional em organizações onde o Serv-U é parte crítica do fluxo de trabalho.
• Sondagem de maturidade antes de tentar explorar uma vulnerabilidade adicional se o alvo não aplicou patches recentes.

Ambientes que rodam Serv-U em versões End-of-Life — 15.4.2, 15.5 e 15.5.1 — merecem atenção extra: essas versões não recebem hotfix e a SolarWinds recomenda migração para uma versão suportada antes de qualquer correção incremental.

O que fazer agora

1. Aplicar o Serv-U 15.5.4 HF1

O hotfix Serv-U 15.5.4 Hotfix 1 está disponível no portal de suporte da SolarWinds desde 3 de junho. Se você está em 15.5.4, a atualização é direta. Se está em versão EoL (15.4.2, 15.5 ou 15.5.1), a orientação é fazer upgrade completo para a versão suportada mais recente antes de aplicar o HF1.

2. Mitigação imediata enquanto o patch não for viável

A SolarWinds descreve duas ações enquanto o patch está em planejamento:

• Restringir acesso por IP. Limitar conexões HTTP ao Serv-U apenas para endereços conhecidos remove o vetor de ataque para qualquer host não autorizado.
• Bloquear requisições com o header content-encoding. O Serv-U não usa essa funcionalidade legitimamente — qualquer requisição com esse header pode ser descartada em nível de firewall ou WAF sem impacto operacional.

A lógica é a mesma que aplicamos no hardening de SSH em servidores Linux: desabilitar ou bloquear o que não é necessário antes que seja explorado. No caso do Serv-U, Content-Encoding: deflate em POST simplesmente não faz parte de nenhum fluxo legítimo do produto — bloquear não quebra nada.

O padrão do primeiro semestre de 2026

Este é o terceiro mês consecutivo com múltiplas adições ao KEV da CISA envolvendo infraestrutura de rede e transferência de dados. Em maio, o Exchange Server com o CVE-2026-42897 entrou no mesmo catálogo. Em abril, VPNs. O padrão não é coincidência: atacantes estão priorizando serviços expostos à internet que organizações tendem a considerar "infraestrutura estável" — e portanto mantêm sem atualização por mais tempo.

Servidores de transferência de arquivo, servidores de e-mail e VPNs costumam ter ciclos de atualização mais lentos que aplicações web modernas. A razão é prática: qualquer janela de manutenção interrompe operações. Mas essa aversão ao patch cria exatamente a janela que o KEV documenta mês a mês.

Conclusão

CVE-2026-28318 não é um bug de execução de código — mas está sendo explorado ativamente, e com mais de 12 mil servidores expostos no Shodan, a superfície é ampla. O hotfix existe desde o dia da divulgação. A CISA já adicionou ao KEV. O prazo federal é 19 de junho. Se você administra Serv-U, o momento de agir já passou — mas ainda dá tempo. E se você notou instabilidade inexplicável em um Serv-U nos últimos dias, vale revisar os logs antes de descartar. Conta nos comentários se encontrar algo.