SolarWinds ha lanzado una actualización urgente para el servidor de archivos Serv-U que corrige múltiples vulnerabilidades críticas con un CVSS 9.1, permitiendo la ejecución remota de código con privilegios root. Entre las fallas se incluyen problemas en el control de acceso, confusión de tipos y referencias inseguras a objetos, afectando componentes centrales y la interfaz web. Se recomienda a los equipos de ciberseguridad y administradores aplicar la versión 15.5.4 inmediatamente para mitigar riesgos de compromisos completos del sistema.
CVE y severidad
| CVE | CVSS | Componente afectado | Versión afectada | Impacto |
|---|---|---|---|---|
| CVE-2025-40538 | 9.1 (Crítica) | Serv-U Core (Control de acceso) | Versiones sin parchear | Creación de administrador y ejecución remota con root |
| CVE-2025-40539 | 9.1 (Crítica) | Interfaz web de Serv-U | Versiones sin parchear | Confusión de tipos que permite ejecución remota con root |
| CVE-2025-40540 | 9.1 (Crítica) | Interfaz web de Serv-U | Versiones sin parchear | Confusión de tipos que permite ejecución remota con root |
| CVE-2025-40541 | 9.1 (Crítica) | API / Manejo de objetos de Serv-U | Versiones sin parchear | Vulnerabilidad IDOR permite ejecución remota con root |
Productos afectados
La vulnerabilidad afecta a todas las versiones sin parchear del servidor de archivos Serv-U, especialmente la línea previa a la versión 15.5.4.
Solución
Actualizar a la versión Serv-U 15.5.4.
Recomendaciones
Priorizar la aplicación inmediata del parche en la infraestructura de Serv-U para evitar explotación remota; después de la actualización, validar el correcto funcionamiento y monitorear accesos administrativos. Administradores que usen versiones anteriores, como la 15.5.1, deben considerar la próxima finalización del soporte técnico.