La CISA américaine ajoute une vulnérabilité critique de SolarWinds Serv-U à son catalogue KEV

fr.wedoany.com Rapport : L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté une vulnérabilité de haute sévérité affectant le logiciel de serveur de fichiers multi-protocoles SolarWinds Serv-U à son catalogue de vulnérabilités connues pour être exploitées (KEV), en raison de preuves d’exploitation active.

Identifiée sous le numéro CVE-2026-28318, cette vulnérabilité obtient un score CVSS de 7,5 et constitue un défaut de déni de service (DoS) qui entraîne un plantage du service dans des conditions spécifiques. La CISA la qualifie de vulnérabilité de consommation de ressources non contrôlée, pouvant provoquer une situation de DoS.

Selon un avis publié par SolarWinds plus tôt cette semaine, Serv-U est exposé à des risques d’attaques via des requêtes POST spécialement conçues. Ces requêtes, accompagnées de l’en-tête Content-Encoding: deflate, permettent à un attaquant, sans authentification, de faire planter le service Serv-U.

Ce problème a été corrigé dans la version 15.5.4 HF1 de SolarWinds Serv-U. En guise de mesure d’atténuation, l’entreprise recommande de limiter l’accès aux adresses connues et d’intercepter toute requête contenant « content-encoding », car cette fonctionnalité n’est pas nécessaire pour le service vulnérable.

On ignore encore comment cette vulnérabilité est exploitée dans des attaques réelles, ni l’identité des attaquants. Le nombre d’instances de Serv-U exposées sur Internet et affectées reste inconnu.

La CISA exige que les agences de l’administration civile fédérale (FCEB) appliquent le correctif avant le 19 juin 2026. Historiquement, plusieurs vulnérabilités de Serv-U ont été exploitées par des acteurs malveillants, notamment le groupe de ransomware Cl0p.