تُعرف الثغرة برقم CVE-2026-28318، وتؤثر على برنامج نقل الملفات SolarWinds Serv-U، مما يسمح للمهاجمين غير المصرح لهم بإغلاق الخدمة عبر طلبات HTTP مصممة خصيصًا.
تُصنف الثغرة على أنها ثغرة استهلاك موارد غير مسيطر عليها (CWE-400)، حيث تفشل التطبيقات في تحديد الموارد التي تخصصها استجابةً للمدخلات الواردة. في هذه الحالة، يمكن للمهاجم إرسال طلب POST ضار باستخدام رأس Content-Encoding: deflate، مما يجبر خدمة Serv-U على استهلاك موارد مفرطة وإغلاقها دون الحاجة إلى أي بيانات اعتماد.
يُعد مسار الهجوم مثيرًا للقلق بشكل خاص لأنه لا يتطلب أي امتيازات ويمكن تنفيذه عن بُعد عبر الشبكة. هذا يجعله وسيلة جذابة للوصول الأولي للمهاجمين الذين يستهدفون المنظمات التي تعرض خدمات Serv-U للإنترنت.
أضافت CISA ثغرة CVE-2026-28318 إلى قائمة الثغرات المعروفة بالاستغلال النشط في 5 يونيو 2026، وحددت موعدًا نهائيًا للتصحيح في 19 يونيو 2026 لجميع الوكالات الفيدرالية المدنية التنفيذية (FCEB). بموجب التوجيه التشغيلي الملزم (BOD) 22-01، يُلزم الوكالات الفيدرالية بمعالجة الثغرات المدرجة في القائمة خلال الإطار الزمني المحدد.
لا يزال من غير المعروف ما إذا كانت الثغرة قد استُغلت تحديدًا في حملات برامج الفدية، لكن CISA تحث جميع المنظمات، وليس فقط الكيانات الفيدرالية، على التعامل معها بدرجة عالية من الاستعجال نظرًا للاستغلال النشط في البرية.
المنتجات المتأثرة وتوفر التصحيح
أصدرت شركة SolarWinds تصحيحًا عاجلاً يعالج الثغرة في إصدار Serv-U 15.5.4 Hotfix 1. تعتبر جميع الإصدارات السابقة من Serv-U عرضة للخطر ويجب على المستخدمين تطبيق التصحيح فورًا.
نشرت الشركة الاستشارة عبر مركز الثقة الخاص بها، وتتوفر التفاصيل الفنية الكاملة عبر إدخال NVD لثغرة CVE-2026-28318.
إجراءات التصحيح والتخفيف
- تطبيق تصحيح SolarWinds Serv-U 15.5.4 Hotfix 1 فورًا.
- تقييد وصول خدمة Serv-U بوضعها خلف جدار ناري أو VPN عند الإمكان.
- مراقبة السجلات بحثًا عن طلبات POST غير طبيعية تحتوي على رؤوس Content-Encoding: deflate.
- تعطيل أو إلغاء تشغيل مثيلات Serv-U إذا لم يكن التصحيح ممكنًا فورًا.
- اتباع إرشادات BOD 22-01 لنشرات Serv-U المستضافة على السحابة.
يجب على فرق الأمن الرجوع إلى الاستشارة الرسمية لشركة SolarWinds وإدخال NVD التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST) للحصول على أحدث التفاصيل الفنية وإرشادات التصحيح.
