觀點 · 資訊分享

Serv-U 一個請求就能讓檔案伺服器當機，CISA 列入已遭利用漏洞清單、限期 6/19 修補

SolarWinds Serv-U 的 CVE-2026-28318 讓不需登入的人送出特製 POST 請求就能使服務崩潰。CISA 在 6 月 5 日把它加入已知遭利用漏洞（KEV）清單，要求聯邦機關 6 月 19 日前處理。

一句話看懂：SolarWinds Serv-U 有個漏洞，不用登入、只要送出特製請求就能讓服務崩潰；CISA 已把它列入遭利用清單，要求 6 月 19 日前處理。

Serv-U 遭利用漏洞：免登入就能打掛資訊圖卡：特製請求就能讓 Serv-U 服務崩潰，CISA 列入遭利用清單

先用白話講：Serv-U 是什麼、「當機攻擊」又是什麼？

Serv-U 是 SolarWinds 的檔案傳輸伺服器，企業常用它對外提供檔案上傳下載，像是在公司門口設一個「收發室」，客戶與夥伴把檔案送來、領走。

這次的問題像是：收發室的櫃檯有個漏洞，任何路人遞進一張格式很怪的單子，櫃檯人員就當場昏倒，整個收發室得停業重開。對方不用有員工證（不需登入），也偷不走東西，但能反覆讓你的業務停擺。這類攻擊叫阻斷服務（DoS）。

修補：SolarWinds 釋出 Serv-U 15.5.4 Hotfix 1，發行說明寫明攻擊者不能再用帶有 deflate 內容編碼的簡單請求讓服務崩潰
暫時無法更新：官方說明 SolarWinds Trust Center 有提供緩解步驟
檢查方式：確認安裝的版本，並觀察服務是否有不明原因的重啟或崩潰紀錄
暴露面：若用不到對外服務，限制來源 IP 或放到 VPN 後面是通用的好習慣（這是一般建議，並非官方針對此漏洞的說明）

我自己不用 Serv-U，但接案時常遇到客戶用各種檔案傳輸或老舊的企業軟體，放在公司內部網路外面、很久沒更新。這種軟體最容易被忽略，直到出事才有人想起來。

CISA 的 KEV 清單我覺得很值得小團隊關注：它不是「理論上可能」，而是「已經有人在用」。如果你管的環境裡有 Serv-U，先確認版本，這週就補；沒有的話，也趁機盤點一下有哪些服務是直接對外開放的。

這個漏洞是讓駭客偷資料嗎？

不是。依 NVD 記載，它影響的是「可用性」，也就是讓 Serv-U 服務崩潰、無法使用；機密性與完整性的影響欄位都是無。

什麼是 CISA KEV？

美國 CISA 維護的「已知遭利用漏洞」清單，列入代表有證據顯示這個漏洞已被實際利用，聯邦機關必須在期限內處理。民間單位雖然沒有強制，也常把它當作優先修補的依據。

我該怎麼處理？

把 Serv-U 更新到 15.5.4 Hotfix 1。暫時無法更新的話，依 SolarWinds Trust Center 提供的緩解步驟處理，並避免把服務直接暴露在網際網路上。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。