SolarWinds Serv-U CVE-2026-28318: CISA تضيف ثغرة DoS مستغلة إلى KEV مع موعد نهائي فيدرالي في 19 يونيو

ما الذي حدث: CVE-2026-28318 تدخل كتالوج KEV التابع لـ CISA

في 5 يونيو 2026، أضافت CISA ثغرة CVE-2026-28318 إلى كتالوج الثغرات المستغلة المعروفة، ملزمةً الوكالات الفيدرالية بالمعالجة بحلول 19 يونيو 2026 بموجب التوجيه التشغيلي الملزم BOD 22-01. تقع الثغرة في SolarWinds Serv-U Managed File Transfer (MFT) — وهو برنامج تستخدمه آلاف الشركات لنقل الملفات الحساسة بين الأنظمة الداخلية والشركاء الخارجيين.

الثغرة في حد ذاتها بسيطة بشكل مخادع. يرسل المهاجم غير المصادق عليه طلب HTTP POST مُصمَّم خصيصاً يتضمن ترويسة Content-Encoding: deflate إلى خدمة Serv-U. يحاول الخادم فك ضغط الحمولة، ويستهلك موارد مفرطة خلال هذه العملية ثم يتعطل — دون الحاجة إلى أي بيانات اعتماد أو تدخل من المستخدم. والنتيجة هي حجب خدمة كامل يُوقف منصة MFT عن العمل. بالنسبة للمنظمات التي تُدير تصديرات الرواتب، وتقديم التقارير التنظيمية، وتبادل البيانات الآلي مع الشركاء، أو نقل البيانات الخاضعة للتنظيم عبر Serv-U، فإن الانقطاع ليس مجرد إزعاج بسيط — بل قد يُوقف العمليات ويُفضي إلى عقوبات تعاقدية أو تنظيمية.

أصدرت SolarWinds التصحيح — Serv-U 15.5.4 Hotfix 1 — في 3 يونيو 2026، أي قبل يومين من إدراج CISA للثغرة في KEV. جميع الإصدارات السابقة لـ 15.5.4 Hotfix 1 متأثرة، مما يعني أن كل نشر لم يُطبَّق عليه هذا التصحيح المحدد معرَّض حالياً لمتجه الهجوم المؤكد والمستغل بصورة نشطة.

التشريح التقني للهجوم

تُصنَّف ثغرة CVE-2026-28318 باعتبارها خللاً في الاستهلاك غير المنضبط للموارد (Uncontrolled Resource Consumption). مسار الهجوم مباشر: تقبل واجهة استماع HTTP في Serv-U الطلبات التي تحمل ترويسة Content-Encoding: deflate، لكنها تفتقر إلى ضمانات كافية على عملية فك الضغط. حين تصل حمولة مشوَّهة، يحاول الخادم توسيعها، ويدخل في حلقة استنزاف موارد، ثم يتعطل — متسبباً في إيقاف خدمة MFT بالكامل.

ما يجعل هذا الأمر خطيراً بشكل خاص هو سطح الهجوم الذي لا يشترط أي متطلبات مسبقة. لا يوجد تجاوز للمصادقة يمكن هندسته، ولا حاجة لهندسة اجتماعية، ولا ضرورة للتحرك الجانبي. يستطيع أي مهاجم مجاور للشبكة أو يواجه خادماً مكشوفاً على الإنترنت إرسال طلب POST واحد وتعطيل الخدمة. وصفت CISA هذا بأنه “متجه هجوم متكرر”، وتوجيهاتها مباشرة: تطبيق التصحيح أو إيقاف المنتج عن الشبكة.

التصنيف بوصفه ثغرة عالية الخطورة مع تأثير عالٍ على التوافر دقيق. لا تُخل CVE-2026-28318 مباشرةً بسرية البيانات أو سلامتها — لا يستطيع المهاجمون تسريب الملفات عبر هذا المتجه المحدد — لكن الأثر التشغيلي لمنصة MFT المتعطلة قد يُعرِّض المنظمات للخطر بحد ذاته. عمليات العمل الآلي التي تتوقف، وعمليات نقل الملفات التي تفشل بصمت، وخطوط أنابيب الامتثال التي تفوتها المواعيد، كل ذلك يُحدث تداعيات ثانوية. في الصناعات الخاضعة للتنظيم، قد يكون نقل الملفات الفاشل بالضرر ذاته الذي تُحدثه الاختراقات.

يضيف تاريخ استغلال Serv-U مزيداً من السياق. استهدف مشغلو برنامج الفدية Clop تحديداً منصات MFT — بما في ذلك MOVEit Transfer وGoAnywhere MFT — في حملات اخترقت مئات المنظمات خلال 2023 و2024. وقد أولت مجموعات APT الصينية المدعومة من الدولة أهمية قصوى لـ Serv-U بوصفها نقطة دخول. CVE-2026-28318 مستغلة بصورة نشطة — لا تُضيف CISA ثغرات إلى كتالوج KEV بناءً على التخمين.

حجم التعرض: أكثر من 12,000 خادم قابل للوصول على Shodan

البصمة المكشوفة على الإنترنت لـ Serv-U كبيرة. يُحدد Shodan حالياً أكثر من 12,000 نسخة Serv-U مكشوفة يمكن الوصول إليها من الإنترنت العام. بينما يوثِّق Shadowserver، الذي يتتبع البنية التحتية المعرَّضة للخطر بأسلوب أكثر تحفظاً، نحو 3,100 نسخة في مجموعات بياناته. الفجوة بين الرقمين تعكس منهجيات مسح مختلفة، لكن الحد الأدنى يظل آلاف الخوادم التي تُقدِّم سطح تعطيل بلا مصادقة لأي شخص يمتلك عميل HTTP مخصص.

هذا مهم لأن الهجوم لا يتطلب أي استطلاع. لا يحتاج المهاجم إلى رسم خريطة للبنية الداخلية للمنظمة المستهدفة، أو التعرف على المستخدمين المصادَق عليهم، أو تحديد مسارات الملفات الحساسة. كل ما يحتاجه هو الوصول إلى منفذ HTTP الخاص بـ Serv-U بطلب POST مُصاغ. المنظمات التي نشرت Serv-U مباشرة على الإنترنت — دون WAF أو بروكسي عكسي أو اشتراط VPN — هي الأكثر تعرضاً فورياً للخطر.

تظل معدلات اعتماد التصحيح مجهولة، وهو أكثر نقاط البيانات أهمية. أصدرت SolarWinds 15.5.4 Hotfix 1 في 3 يونيو 2026. إدراج CISA في KEV في 5 يونيو يعني أن نافذة يومين مضت بين توافر التصحيح والتأكيد العلني للاستغلال النشط. أي منظمة ترصد تنبيهات SolarWinds وطبَّقت التصحيح خلال تلك النافذة تمتعت بالحماية. أما البقية — والتي تمثل على الأرجح غالبية تلك النسخ الـ 12,000+ — فلا تزال غير محمية.

ما يجب على فرق الأمن القيام به

1. التصحيح فوراً — أو العزل حتى يتسنى ذلك

طبِّق SolarWinds Serv-U 15.5.4 Hotfix 1 الآن. هذا هو التصحيح الرسمي؛ لا يوجد تخفيف جزئي يحل محله. إذا كانت عملية إدارة التصحيحات لديك تتطلب نوافذ اختبار، أو مجالس موافقة على التغييرات، أو تنسيقاً مع البائع، فلا تنتظر اكتمال تلك الدورة قبل اتخاذ إجراء. عزِل نسخة Serv-U عن الإنترنت العام فوراً — ضعها خلف VPN، أو قاعدة جدار حماية، أو قيد قطاع شبكي يمنع الوصول غير المصادق من نطاقات IP غير موثوقة. تنصح SolarWinds نفسها المسؤولين بتقييد الوصول إلى Serv-U بعناوين IP الموثوقة وحجب طلبات POST المحتوية على ترويسات Content-Encoding كتدبير مؤقت. هذه حلول مؤقتة، وليست تصحيحات — لكنها تُزيل سطح الهجوم الذي لا يشترط المصادقة بينما تتقدم عملية التصحيح.

2. مراجعة تعرض Serv-U على Shodan وعلى شبكتك الداخلية

قبل أن تتمكن من الدفاع عنها، تحتاج أن تعرف موقعها. شغِّل بحثاً على Shodan عن نطاقات IP والـ ASN الخاص بمنظمتك بحثاً عن بصمات Serv-U — إذا ظهرت نسختك في نتائج Shodan العامة، فهي قابلة للوصول بالطريقة ذاتها التي سيستخدمها المهاجم. داخلياً، استخدم مخزون الأصول أو أدوات المسح الشبكي لتحديد كل نشر لـ Serv-U، بما في ذلك نسخ Shadow IT والأنظمة القديمة التي قد لا تخضع لإدارة تصحيحات نشطة. تكتشف كثير من المنظمات في هذه المرحلة نسخ Serv-U لم تكن تعلم بوجودها — غالباً ما تكون قد نُصِّبت من قبل قسم ما قبل سنوات لحل مشكلة نقل ملفات ولم تُسجَّل رسمياً لدى فريق الأمن. كل نسخة غير معروفة من هذه النسخ تمثل خطر تعطيل كامل الآن.

3. تعزيز التعامل مع طلبات POST كضبط دائم

حتى بعد التصحيح، يكشف متجه الهجوم Content-Encoding: deflate عن فئة من التعرض تنطبق على ما هو أبعد من هذه CVE المحددة. إذا كانت منظمتك تكشف Serv-U للإنترنت، فعِّل قاعدة جدار حماية تطبيقات الويب (WAF) التي تحجب أو تُقيِّد طلبات POST المحتوية على قيم Content-Encoding غير معيارية. تشير SolarWinds إلى أن خدمة Serv-U لا تتطلب هذه الوظيفة من العملاء الخارجيين — مما يعني أن حجبها عند محيط الشبكة تغيير آمن وعديم التأثير التشغيلي. لن يمنع هذا الضبط الثغرات المستقبلية في Serv-U، لكنه يقلل من احتمال أن يظل متجه استنزاف موارد مماثل مستغَلاً في انتظار الـ hotfix القادم.

4. مراجعة دور منصة MFT في سير العمل الخاضعة للتنظيم

يفرض الأثر الـ DoS لـ CVE-2026-28318 تمريناً مفيداً في الجرد. رسم خريطة كل سير عمل آلي يعتمد على توافر Serv-U: نقل الرواتب، وتكاملات ERP، وتبادلات API مع الشركاء، وتقديم تقارير الامتثال. لكل منها، اطرح سؤالين: ماذا يحدث إذا كان Serv-U غير متاح لمدة 4 ساعات؟ لمدة 24 ساعة؟ إذا كانت الإجابة تتضمن مواعيد تنظيمية فائتة، أو انتهاكات SLA، أو عقوبات تعاقدية، فهذه سير العمل تحتاج إما مسار تكرار أو إجراء استجابة موثقاً للحوادث اختبره فريق العمليات فعلياً.

الصورة الأشمل: MFT بوصفها سطح هجوم دائماً

تحتل منصات نقل الملفات المُدارة موقعاً بالغ الخطورة في بنية المؤسسات. إذ تقع عند تقاطع مخازن البيانات الداخلية والشركاء الخارجيين، وتتعامل مع البيانات الخاضعة للتنظيم والحساسة بوصفها وظيفتها الأساسية، وكثيراً ما تعمل بصلاحيات وصول شبكية واسعة لأداء تلك الوظيفة. هذا الجمع — قيمة عالية للبيانات، واتصال واسع، وأهمية تشغيلية — يجعل منصات MFT هدفاً متكرراً لجهات التهديد المتطورة.

يوضح تاريخ استغلال Serv-U هذا النمط بجلاء. استهدف مشغلو برنامج الفدية Clop منصات MFT في حملات اخترقت مئات المنظمات في 2023 و2024. CVE-2026-28318 عبارة عن DoS وليست تنفيذ كود عن بُعد، لكن ملف التهديد للجهات التي تستهدف Serv-U قادر على تسلسل الثغرات — يمكن أن يُستخدم الـ DoS الذي يُتعطَّل ثم يُعاد تشغيله أحياناً لمقاطعة التسجيل، أو تشغيل سلوكيات التعافي، أو توقيت استغلال ثغرة ثانية في نافذة التعافي.

الموعد الفيدرالي في 19 يونيو هو حد أدنى، وليس هدفاً. الوكالات الفيدرالية ملزمة بالمعالجة بحلول ذلك التاريخ بموجب BOD 22-01. المنظمات في القطاع الخاص ليست مُلزَمة بتلك التوجيه، لكن إدراج KEV إشارة واضحة إلى أن الاستغلال نشط وواسع بما يكفي لتعتبره CISA خطراً منهجياً. عاملوا الموعد الفيدرالي باعتباره آخر تاريخ مقبول، وليس التاريخ المُخطَّط له. يجب أن يكون تصحيحكم موجوداً بالفعل في قائمة انتظار إدارة التغييرات لهذا الأسبوع — وليس الأسبوع القادم.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• CISA تضيف ثغرة SolarWinds Serv-U المستغلة بصورة نشطة — BleepingComputer
• تحليل ثغرة CISA SolarWinds Serv-U — CyberSecurityNews
• تفاصيل ثغرة SolarWinds Serv-U المستغلة — CyberPress
• كتالوج KEV التابع لـ CISA — CISA.gov
• تنبيهات أمان SolarWinds Serv-U — SolarWinds