- SolarWinds corrigiu quatro bugs críticos do Serv-U na versão 9.1/10
- Os bugs estavam executando código arbitrário; nenhuma exploração foi vista até agora
- Ferramentas gerenciadas de transferência de arquivos continuam sendo alvos valiosos
SolarWinds Serv-U, uma solução popular de transferência de arquivos para usuários corporativos, tinha múltiplas vulnerabilidades críticas que permitiam que hackers executassem código arbitrário no sistema subjacente, alertou a empresa.
Em um comunicado de segurança divulgado recentemente, a SolarWinds detalhou as falhas e lançou um patch para resolvê-las.
Todos os quatro bugs receberam uma gravidade de 9,1/10 (crítico). Uma “falha RCE de controle de acesso quebrado” rastreada como CVE-2025-40538, duas falhas RCE do tipo confusão (CVE-2025-40540 e CVE-2025-40539) e uma “falha RCE de referência direta de objeto inseguro” rastreada como CVE-2025-40539.
Nenhuma exploração ainda
A SolarWinds creditou à sua equipe de segurança interna a descoberta dos bugs e disse que todos os quatro foram corrigidos na versão 15.5.4, pedindo a todos os clientes que atualizem imediatamente.
Em uma declaração compartilhada com ele registroa empresa disse que não há evidências de que esses bugs estejam sendo explorados: “Não vimos nenhuma exploração. Continuamos comprometidos em monitorar a situação, trabalhando em estreita colaboração com clientes e parceiros para garantir que os problemas sejam resolvidos rapidamente. A SolarWinds continua a priorizar a resolução rápida de CVEs para garantir a segurança e integridade de nosso software”, disse a empresa no comunicado.
No momento da publicação, as vulnerabilidades também não podem ser encontradas no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA.
No entanto, as soluções gerenciadas de transferência de arquivos sempre foram o principal alvo de ataques cibernéticos e estiveram no centro de grandes eventos de hackers no passado em diversas ocasiões.
Talvez o mais famoso seja o fiasco do MOVEit, quando os operadores russos de ransomware Cl0p abusaram de um dia zero crítico no final de maio de 2023. Entre o final do ano e o início de 2024, pesquisas e dados agregados de violação mostraram que mais de 2.700 organizações em todo o mundo foram afetadas por ataques.
Alguns meses antes, o mesmo grupo tinha como alvo o GoAnywhere, outra solução gerenciada de transferência de arquivos, supostamente comprometendo 130 empresas.
O melhor antivírus para cada orçamento
Siga o TechRadar no Google Notícias e adicione-nos como sua fonte padrão para receber notícias, opiniões e opiniões de nossos especialistas em feeds. Certifique-se de clicar no botão Continuar!
E é claro que você também pode Siga o TechRadar no TikTok para receber novidades, análises, unboxings em formato de vídeo e receber atualizações constantes nossas WhatsApp também
