Vulnérabilité de type insuffisance de contrôle d’accès affectant SolarWinds Serv-U

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/009

APERÇU :

Une vulnérabilité critique affectant SolarWinds Serv-U permettrait à un acteur malveillant de créer un compte administrateur système et d’exécuter du code arbitraire avec des droits privilégiés sur les systèmes affectés.

DESCRIPTION :

SolarWinds Serv-U est une solution de transfert de fichiers d’entreprise qui offre des services FTP, FTPS, SFTP et HTTP/S pour échanger des données de manière sécurisée.  

Cette solution est affectée par une vulnérabilité critique libellée CVE-2025-40538, résultant d’un contrôle d’accès insuffisant dans la gestion des privilèges d’administration. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié, disposant de privilèges restreints de créer un compte administrateur système doté de droits complets et d’exécuter du code arbitraire sur les systèmes affectés.  

Elle est classée critique avec un score de sévérité de 9.1 selon le CVSS V3.1.

IMPACT

  • Atteinte à la confidentialité des données ;
  • Compromission de l’intégrité du système ;
  • Exécution de code arbitraire à distance.

SYSTÈMES AFFECTÉS :

Les versions de SolarWinds Serv-U antérieures à 15.5.4.

MESURES À PRENDRE :

Mettre à jour SolarWinds Serv-U vers la version 15.5.4 ou une version ultérieure.

RÉFÉRENCES :