SolarWinds stopft mit dem Update auf Serv-U 2026.3 insgesamt 15 kritische Sicherheitslücken sowie eine mittleren Schweregrads. Die Auswirkungen reichen von der Rechteausweitung über Informationslecks hin zur Ausführung von eingeschleustem Schadcode aus dem Netz.
In den Release-Notes zu Serv-U 2026.3 listet SolarWinds die einzelnen Sicherheitslücken auf. Die vom FTP-Server zum Managed-File-Transfer-System ausgebaute Software hat 15 CVE-Einträge für kritische Lücken erhalten: CVE-2026-28302, CVE-2026-28304 bis einschließlich CVE-2026-28314 sowie CVE-2026-28316, CVE-2026-28317 und CVE-2026-28321 weisen mit dem CVSS-Wert 9.1 die Risikoeinstufung „kritisch“ auf. Der Schwachstelleneintrag CVE-2026-28315 ragt mit einem CVSS-Wert von 6.2 und dem Risiko „mittel“ aus der Liste heraus; es handelt sich um eine Cross-Site-Scripting-Lücke, die die Übernahme einer Session oder das unbefugte Einsehen von Informationen eines Admin-Kontos ermöglichen kann.
Weitere Verbesserungen
Interessierte finden in den Release-Notes zudem Hinweise zu neuen Funktionen und Verbesserungen, die Serv-U 2026.3 mitbringt. Dort erklärt SolarWinds etwa unter „Allgemeine Verbesserungen“, dass OpenSSL in der Version 3.0.21 mitkommt, was weitere Sicherheitslücken schließt, sowie dass es allgemein „Sicherheitsverbesserungen“ gebe. Fehlerkorrekturen umfassen etwa Abstürze durch HTTP-Header mit irrelevanten „content-encoding: deflate“-Einträgen oder Denial-of-Service-Situationen durch anonyme SSH-FTP-Sessions.
