L'agenzia statunitense CISA ha aggiunto al catalogo delle vulnerabilità sfruttate attivamente (KEV) una falla di SolarWinds Serv-U, il software di file transfer usato da molte aziende per gli scambi di documenti con clienti e partner. La vulnerabilità, identificata come CVE-2026-28318 (CVSS 7.5), viene già utilizzata in attacchi reali per mandare in crash i server.
Come funziona l'attacco
Si tratta di un caso di consumo incontrollato di risorse (CWE-400): un attaccante senza alcuna credenziale può inviare una richiesta HTTP POST appositamente costruita con l'intestazione Content-Encoding: deflate, costringendo il servizio Serv-U ad allocare risorse fino al blocco completo. Non serve interazione da parte degli utenti né alcun accesso preliminare: basta che l'interfaccia web del server sia raggiungibile.
A differenza delle falle che portano al furto di dati, qui l'effetto immediato è il denial of service: il servizio si interrompe e i trasferimenti di file si fermano. Per le organizzazioni che usano Serv-U in processi critici — flussi con i fornitori, scambi bancari, trasferimenti schedulati — l'impatto operativo può comunque essere significativo, e l'inserimento nel catalogo KEV certifica che gli attacchi non sono ipotetici ma in corso.
Patch e scadenze
SolarWinds ha corretto il problema con la versione 15.5.4 Hotfix 1: tutte le versioni precedenti sono da considerare vulnerabili. Per le agenzie federali statunitensi la scadenza fissata da CISA per applicare il rimedio è il 19 giugno 2026, ma il catalogo KEV è ormai un riferimento di priorità anche per i privati, e in Italia rientra tra le fonti monitorate da CSIRT Italia per i propri bollettini.
Vale la pena ricordare che i prodotti di file transfer sono tra i bersagli storicamente più colpiti — da MOVEit a GoAnywhere fino alle precedenti falle dello stesso Serv-U sfruttate da gruppi ransomware — e che la superficie esposta andrebbe ridotta al minimo: aggiornare subito, limitare l'accesso all'interfaccia web alle sole reti necessarie e monitorare i log per richieste POST anomale.
