SolarWinds-Serv-U-Lücke aktiv ausgenutzt, Patch verfügbar

CISA warnt vor aktiv ausgenutzter SolarWinds-Serv-U-Lücke Fehlerhafter POST-Request reicht für Absturz von SolarWinds Dateiserver

15.06.2026 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Schwachstelle CVE-2026-28318 in SolarWinds Serv-U lässt sich ohne Authentifizierung per POST-Request ausnutzen und stürzt den Dateiserver ab. CISA hat die Lücke als aktiv ausgenutzt in ihren KEV-Katalog aufgenommen und setzt US-Behörden eine Patchfrist bis zum 19. Juni 2026.

Ein fehlerhafter POST-Request bringt SolarWinds Serv-U ohne Anmeldung zum Absturz. Version 15.5.4 HF1 schließt die aktiv ausgenutzte Lücke.(Bild: © Westlight - stock.adobe.com) — Ein fehlerhafter POST-Request bringt SolarWinds Serv-U ohne Anmeldung zum Absturz. Version 15.5.4 HF1 schließt die aktiv ausgenutzte Lücke.
(Bild: © Westlight - stock.adobe.com)

Die US-Behörde CISA hat die Schwachstelle CVE-2026-28318 in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen und belegt damit eine aktive Ausnutzung. Betroffen ist der Multiprotokoll-Dateiserver Serv-U von SolarWinds in Version 15.5.4 und älter. Der Fehler hat einen CVSS-Score von 7,5 und ordnet sich unter CWE-400 ein, eine unkontrollierte Ressourcennutzung.

Mit Detail über die sechs Sicherheitslücken in seiner Web-Help-Desk-Plattform hält sich Solarwinds zurück. Das Update 2026.1 löst die Probleme. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Exponierte Serv-U-Instanzen vergrößern die Angriffsfläche

Serv-U dient in Unternehmen als Gateway für den verwalteten Dateitransfer über FTP, FTPS, SFTP und HTTP/S. Viele Installationen stehen direkt am Internet, um externen Partnern den Zugriff zu ermöglichen. Die Exposition macht den Dienst zu einem lohnenden Ziel, denn ein Ausfall unterbricht den Datenfluss zwischen Standorten und Partnern. Ein unauthentifizierter DoS senkt die Hürde zusätzlich, da weder ein gültiges Konto noch Vorkenntnis der Umgebung nötig ist.

Ein deflate-Header löst den Ressourcenverbrauch aus

Der Angriff nutzt speziell gestaltete POST-Requests mit dem Header "Content-Encoding: deflate". Der Dienst verarbeitet die Anfrage ohne Authentifizierung und gerät bei der Verarbeitung des komprimierten Inhalts in eine unkontrollierte Ressourcennutzung, die zum Absturz führt. CWE-400 beschreibt dieses Muster, bei dem eine Anwendung Speicher oder Rechenzeit ohne wirksame Begrenzung beansprucht. Eine Anmeldung am System ist nicht erforderlich. Der Angriffsvektor liegt im Netzwerk bei niedriger Komplexität und ohne nötige Rechte oder Nutzerinteraktion. Die Auswirkung beschränkt sich auf die Verfügbarkeit, Vertraulichkeit und Integrität der Daten bleiben unberührt.

Open Source ermöglicht durch Transparenz kontinuierliche Community-Überprüfung der Software-Lieferkette. Software Bills of Materials machen alle Komponenten nachvollziehbar. Nur wer seine Supply Chain kennt, kann sie auch schützen. (Bild: © KanawatTH - stock.adobe.com)

Version 15.5.4 HF1 schließt die Lücke

SolarWinds behebt das Problem in Serv-U 15.5.4 HF1. Für Umgebungen ohne sofortiges Update empfiehlt der Hersteller, den Zugriff auf bekannte Adressen zu beschränken und Anfragen mit dem Header "content-encoding" zu blockieren, denn der Dienst benötigt diese Funktion nicht. CISA verpflichtet die zivilen US-Bundesbehörden, die Schwachstelle bis zum 19.06.2026 zu beheben. Die Frist gilt formal nur für US-Behörden, dient aber auch europäischen Organisationen als Maßstab für die Dringlichkeit. Angaben zur konkreten Vorgehensweise der Angreifer und zur Zahl betroffener Instanzen liegen bislang nicht vor.

Fazit

In der Vergangenheit nutzten Angreifer mehrfach Schwachstellen in Serv-U aus, unter anderem Akteure im Umfeld der Ransomware-Gruppe Cl0p. Die Aufnahme in den KEV-Katalog und die behördliche Frist ordnen CVE-2026-28318 in eine hohe Risikoklasse ein und verweisen auf ein erhöhtes Risiko für exponierte Installationen.

Im Rückblick auf 2025 verzeichnete der KEV-Katalog der CISA einen alarmierenden Anstieg von 20 Prozent ausgenutzten Schwachstellen, was die dringende Notwendigkeit für Unternehmen weltweit verdeutlicht, Sicherheitslücken aktiv zu priorisieren. (Bild: Nmedia - stock.adobe.com)

(ID:50866315)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.