SolarWinds ha lanzado actualizaciones de seguridad críticas para su software de transferencia de archivos Serv-U, corrigiendo 15 vulnerabilidades. Estos fallos podrían permitir que atacantes obtengan privilegios elevados y, en ciertos casos, ejecutar código con acceso de usuario root. Las correcciones fueron implementadas en la versión 2026.3, publicada el 21 de julio de 2026.

SolarWinds ha lanzado actualizaciones de seguridad importantes para su software de transferencia de archivos Serv-U, solucionando 15 vulnerabilidades que podrían permitir a los atacantes obtener privilegios elevados y, en algunos casos, ejecutar código con acceso de usuario root.

Estas correcciones se entregaron en la versión 2026.3 de Serv-U, publicada el 21 de julio de 2026, como parte del esfuerzo continuo de la empresa por resolver fallos de alto riesgo reportados a través de su programa de recompensas por errores (bug bounty).

Las vulnerabilidades parcheadas se rastrean bajo múltiples identificadores CVE, desde CVE-2026-28302 hasta CVE-2026-28321. En su mayoría, tienen una puntuación de gravedad de 9.1, lo que indica un riesgo crítico. Muchos de estos problemas surgen de debilidades de referencia directa insegura a objetos (IDOR) y mecanismos de control de acceso rotos.

Podrían permitir que atacantes autenticados, especialmente aquellos con acceso administrativo o de dominio, escalen privilegios, manipulen el comportamiento de la aplicación y, en última instancia, ejecuten código arbitrario con permisos de nivel root.

Dos de las vulnerabilidades más graves, CVE-2026-28304 y CVE-2026-28311, implican la ejecución remota de código. Una explotación exitosa podría permitir a los atacantes ejecutar comandos maliciosos en los sistemas afectados de forma remota.

Otras vulnerabilidades permiten la escalada de privilegios al promover usuarios o grupos de nivel inferior a roles de administrador del sistema, eludiendo eficazmente las restricciones de acceso previstas.

SolarWinds Parchea Vulnerabilidades de Serv-U

Además de la escalada de privilegios, ciertos fallos podrían provocar la toma de control de cuentas y el secuestro de SMTP. Por ejemplo, CVE-2026-28313 permite a los atacantes explotar un problema de IDOR para comprometer cuentas de usuario mediante la manipulación de SMTP.

Otra vulnerabilidad, CVE-2026-28315, implica un cross-site scripting (XSS) almacenado, que podría exponer datos sensibles de la sesión administrativa o conducir al secuestro de la sesión.

SolarWinds señaló que muchas de estas vulnerabilidades requieren algún nivel de acceso autenticado, como una cuenta de administrador de dominio o permisos a nivel de grupo.

ID de CVE	Tipo de Vulnerabilidad	Gravedad
CVE-2026-28302	IDOR	Crítica (9.1)
CVE-2026-28304	Ejecución remota de código	Crítica (9.1)
CVE-2026-28305	IDOR	Crítica (9.1)
CVE-2026-28306	Escalada de privilegios	Crítica (9.1)
CVE-2026-28307	Escalada de privilegios	Crítica (9.1)
CVE-2026-28308	IDOR	Crítica (9.1)
CVE-2026-28309	Control de acceso roto	Crítica (9.1)
CVE-2026-28310	Escalada de privilegios	Crítica (9.1)
CVE-2026-28311	Ejecución remota de código	Crítica (9.1)
CVE-2026-28312	Escalada de privilegios	Crítica (9.1)
CVE-2026-28313	IDOR	Crítica (9.1)
CVE-2026-28314	IDOR	Crítica (9.1)
CVE-2026-28315	XSS Almacenado	Media (6.2)
CVE-2026-28316	IDOR	Crítica (9.1)
CVE-2026-28317	IDOR	Crítica (9.1)
CVE-2026-28321	Control de acceso roto	Crítica (9.1)

Sin embargo, en entornos reales, los atacantes suelen encadenar tales vulnerabilidades después de un compromiso inicial, lo que hace que estos problemas sean particularmente peligrosos en despliegues empresariales.

La empresa también afirmó que el impacto es normalmente menor en entornos Windows en comparación con los sistemas Linux, donde la ejecución a nivel de root supone un riesgo mayor. Además de las correcciones de vulnerabilidades, Serv-U 2026.3 introduce varias mejoras de seguridad y usabilidad.

Se han reforzado las Políticas de Seguridad de Contenido para reducir el riesgo de ataques de inyección de código, y se han implementado o hecho configurables nuevas cabeceras de seguridad, como las políticas de Cross-Origin y Permissions-Policy. La actualización también incluye OpenSSL 3.0.21 para mejorar la seguridad criptográfica y el rendimiento.

Las mejoras adicionales incluyen un soporte ampliado de autenticación multifactor para usuarios de Active Directory y LDAP, flujos de trabajo de intercambio de archivos mejorados y una mayor fiabilidad del cliente. Estas actualizaciones tienen como objetivo mejorar tanto la postura de seguridad como la eficiencia operativa de la plataforma.

SolarWinds agradeció al programa de bug bounty de Intigriti por divulgar responsablemente las vulnerabilidades y colaborar en la remediación.

La empresa te insta a que actualices a Serv-U 2026.3 inmediatamente, especialmente porque las versiones anteriores se acercan al final de su ciclo de vida y ya no recibirán actualizaciones de seguridad.

Dada la combinación de vulnerabilidades críticas y el uso generalizado de Serv-U en entornos empresariales de transferencia de archivos gestionados, es esencial que instales los parches a tiempo para evitar una posible explotación y minimizar la exposición al riesgo.

Fuentes:
https://cybersecuritynews.com/solarwinds-patches-serv-u-flaws/