Il 5 giugno 2026, CISA ha aggiunto CVE-2026-28318 al catalogo KEV, confermando l'exploit attivo in the wild di una vulnerabilità Denial of Service in SolarWinds Serv-U. Un attaccante remoto e non autenticato può arrestare il servizio di file transfer inviando una POST request con header Content-Encoding: deflate. Le agenzie federali USA devono patchare entro il 19 giugno 2026 per ottemperare al Binding Operational Directive 22-01.
- CISA ha catalogato CVE-2026-28318 come vulnerabilità attivamente sfruttata nel Known Exploited Vulnerabilities Catalog, con richiesta di remediazione entro il 19 giugno 2026 per le agenzie federali.
- Il meccanismo di attacco si attiva tramite POST requests non autenticate con header Content-Encoding: deflate, che causano uncontrolled resource consumption e crash del servizio Serv-U.
- Il punteggio CVSS v3.1 è 7.5 (HIGH), con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H: impatto esclusivamente sulla disponibilità, nessuna compromissione di confidenzialità o integrità.
- SolarWinds ha rilasciato una patch; il CVE record indica che sono disponibili mitigation steps nel SolarWinds Trust Center per chi non possa applicare immediatamente l'aggiornamento.
Un header basta: come funziona l'attacco
La vulnerabilità risiede nella gestione dell'header Content-Encoding: deflate nelle richieste POST ricevute da Serv-U. Secondo il record CVE-2026-28318, classificato CWE-400 Uncontrolled Resource Consumption, l'invio di richieste appositamente costruite con questo header provoca un consumo anomalo di risorse che blocca il servizio.
Il vettore di attacco è interamente di rete: non richiede autenticazione, interazione utente o privilegi pregressi. La complessità dell'attacco è bassa, il che abbassa la barriera all'ingresso per chi intenda interrompere operazioni di file transfer. L'impatto, documentato nel punteggio CVSS, colpisce esclusivamente la disponibilità: il servizio cessa di rispondere.
Questa configurazione — rete, bassa complessità, nessun privilegio, impatto su disponibilità — spiega perché CISA abbia accelerato la remediazione federale. Un servizio di file transfer enterprise che si arresta su richiesta remota rappresenta un punto di fragilità operativa immediata, specialmente per ambienti che gestiscono flussi B2B, healthcare o finanza.
"SolarWinds Serv-U contains an uncontrolled resource consumption vulnerability that allows specially crafted POST requests using the Content-Encoding: deflate header to crash the Serv-U service without authentication" — CISA Known Exploited Vulnerabilities Catalog
La catena di evidenze: da CVE a KEV
Il record CVE-2026-28318, pubblicato su cve.org, assegna il punteggio 7.5 con severità HIGH e specifica il vettore completo: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. Questa granularità tecnica è rara nei record emergenti e fornisce una base solida per la valutazione del rischio. La mancanza di impatto su confidenzialità e integrità (C:N, I:N) delimita precisamente il perimetro della minaccia.
La convergenza tra il record CVE strutturato e il catalogo KEV governativo è il perno dell'alert. CISA non aggiunge vulnerabilità al catalogo senza evidenza di exploit attivo; l'inclusione di CVE-2026-28318 quindi documenta che il meccanismo deflate è stato osservato in operazioni reali, non solo teoriche. La fonte editoriale SC World, che ha dato prima notizia il 5 giugno 2026, conferma questa lettura descrivendo la vulnerabilità come "recently patched" e l'exploit come attivo.
Restano zone d'ombra. Il CVE record non elenca le versioni specifiche di Serv-U affette, né la data esatta di rilascio della patch da parte di SolarWinds. Il volume degli attacchi osservati, la presenza di proof-of-concept pubblici e l'attribuzione a threat actor specifici non emergono dalle fonti disponibili. CISA classifica lo scopo ransomware come "Unknown": non è documentato se la vulnerabilità sia impiegata come accesso iniziale per campagne estorsive o come semplice sabotaggio operativo.
Il contesto SolarWinds: un pattern ricorrente
L'aggiunta di CVE-2026-28318 al KEV catalog non è un isolato nel portfolio SolarWinds. Le fonti di contesto indicano che CISA ha già catalogato altre vulnerabilità del vendor, inclusa CVE-2021-22054 nel prodotto Web Help Desk. Questa ricorrenza solleva interrogativi sulla postura di sicurezza complessiva dell'ecosistema SolarWinds, già segnato dall'incidente supply chain SUNBURST del 2020.
La differenza rispetto a SUNBURST è però sostanziale: CVE-2026-28318 è una falla di superficie, non di profondità. Non compromette la supply chain, non installa backdoor, non richiede mesi di persistenza. Eppure la sua letalità operativa è immediata: un header sbagliato e il servizio crolla. Questo profilo — bassa sofisticazione, alto impatto di disponibilità — è quello che le difese enterprise tendono a sottovalutare, concentrandosi su minacce più complesse.
La cronaca recente mostra che SolarWinds continua a generare voci nel KEV catalog con cadenza preoccupante. La vicinanza temporale tra l'aggiunta di CVE diverse (marzo 2026 per altre voci, giugno 2026 per Serv-U) suggerisce un ritmo di esposizione che il vendor non ha ancora stabilizzato. Se il dossier non permette di stabilire cause comuni, il pattern resta un dato di fatto per chi valuta il rischio vendor.
Cosa fare adesso
- Verificare lo stato di patch delle istanze SolarWinds Serv-U in produzione, prioritizzando i servizi esposti su network perimeter o accessibili da reti non attendibili.
- Applicare l'aggiornamento rilasciato da SolarWinds senza attendere la deadline federale del 19 giugno 2026; la CISA raccomanda esplicitamente al settore privato di agire con analoga celerità.
- Se l'aggiornamento immediato non è fattibile, consultare il SolarWinds Trust Center per le mitigation steps documentate nel CVE record, che forniscono contromisure alternative.
- Monitorare i log per POST requests anomale con header Content-Encoding: deflate dirette a endpoint Serv-U, segnalando pattern ripetuti da sorgenti non autenticate.
Perché la semplicità del vettore è il vero problema
Il nucleo allarmante di questa vulnerabilità non è la sofisticazione, ma la sua assenza. Un header HTTP standard, usato legittimamente in milioni di applicazioni, diventa qui leva per arrestare un servizio enterprise. Questa trasformazione di protocollo ordinario in arma di distruzione operativa è ciò che rende CVE-2026-28318 particolarmente insidioso per le difese perimeter.
Le infrastrutture che dipendono da Serv-U per trasferimenti regolamentati — dati sanitari, flussi finanziari, scambi B2B critici — non possono tollerare interruzioni non programmate. Il rischio non è la furto di dati, ma la rottura della continuità operativa in momenti non controllati. La CISA, imponendo una deadline federale a tre settimane dall'alert, ha riconosciuto questa fragilità temporale.
Per il settore privato, la scadenza del 19 giugno 2026 è un benchmark, non una barriera. La raccomandazione CISA all'universo delle organizzazioni di "applicare mitigazioni o discontinuare l'uso" se la patch non è disponibile esprime la gravità percepita. La decisione di mantenere, sostituire o isolare Serv-U va presa con questa prospettiva.
Domande frequenti
- La vulnerabilità permette di rubare dati o eseguire codice?
- No. Il CVSS v3.1 documenta impatto zero su confidenzialità e integrità (C:N, I:N); l'unico effetto è l'arresto del servizio, con impatto sulla disponibilità (A:H).
- È necessario essere autenticati per sfruttare la falla?
- No. Il vettore PR:N (Privileges Required: None) nel punteggio CVSS e la descrizione CISA confermano che l'attacco funziona senza autenticazione.
- Il 19 giugno 2026 è la data di scoperta della vulnerabilità?
- No. Quella data è la deadline BOD 22-01 imposta da CISA alle agenzie federali per l'applicazione della patch. La data esatta di aggiunta al KEV catalog e la data di scoperta non emergono dalle fonti disponibili.
Fonti
- https://www.scworld.com/brief/hackers-actively-exploit-solarwinds-serv-u-flaw-to-crash-servers-cisa-warns
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/2026/03/cisa-flags-solarwinds-ivanti-and.html
- https://nvd.nist.gov/general/news/cisa-exploit-catalog
- https://www.cve.org/CVERecord?id=CVE-2026-28318
- https://www.cve.org/CVERecord?id=CVE-2021-22054
- https://www.cisa.gov/news-events/alerts/2026/03/09/cisa-adds-three-known-exploited-vulnerabilities-catalog
- https://thehackernews.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.