ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), SolarWinds Serv-U dosya sunucu yazılımında yüksek şiddette bir hizmet engelleme (DoS) açığını aktif olarak istismar edildiği gerekçesiyle Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. CVE-2026-28318 olarak takip edilen bu zafiyet, servis üzerinde belirli koşullarda çökme meydana getirerek kritik hizmet kesintilerine yol açabiliyor.
Saldırının Genel Çerçevesi
SolarWinds Serv-U, çok protokollü dosya sunucu yazılımı olarak kurumsal ağlarda yaygın kullanılıyor. Zafiyet, kimlik doğrulaması gerektirmeden özel olarak hazırlanmış POST isteklerinin “Content-Encoding: deflate” başlığı ile gönderilmesi sonucu Serv-U hizmetinin çökmesine neden oluyor. Bu durum, kontrolsüz kaynak tüketimiyle DoS durumuna yol açıyor. Sorun, Serv-U 15.5.4 HF1 sürümünde giderildi.
Hangi Sistemler Risk Altında?
Özellikle kamu kurumları ve kritik altyapılarda kullanılan SolarWinds Serv-U’nun bu açığa karşı savunmasız kalması, hizmet sürekliliği açısından ciddi risk oluşturuyor. CISA, Federal Sivil Yürütme Dairesi (FCEB) kurumlarına 19 Haziran 2026 tarihine kadar zafiyetin giderilmesini zorunlu kıldı. Henüz zafiyetin gerçek saldırılarda nasıl kullanıldığına dair detaylar paylaşılmadı ve internet üzerinde kaç Serv-U örneğinin etkilendiği bilinmiyor.
Siber Güvenlik Ekipleri İçin Öneriler
- Serv-U erişimini sadece güvenilen IP adresleriyle sınırlandırın.
- Firewall ve ağ cihazlarında “content-encoding” içeren istekleri engelleyin.
- Serv-U yazılımını 15.5.4 HF1 veya daha güncel sürüme yükseltin.
- EDR ve SIEM sistemlerinde ilgili trafik ve hata loglarını yakından izleyin.
- Olay müdahale planlarında bu tür DoS senaryolarını dahil edin.
- Ağ segmentasyonu ile kritik servislerin erişimini kısıtlayın.
- Zero Trust prensipleri doğrultusunda kimlik doğrulama ve erişim kontrollerini güçlendirin.
- Servislerin dışa açık portlarını düzenli olarak tarayın ve güvenlik açıklarını değerlendirin.
Saldırı Zinciri ve Teknik Detaylar
Bu DoS açığı, saldırganların kimlik doğrulaması olmadan özel olarak hazırlanmış HTTP POST istekleriyle hedef servisi çökertmesini sağlıyor. Saldırı zinciri basit olmakla birlikte, servis kesintisi kritik iş süreçlerini etkileyebilir. Bu tür zafiyetlerin istismarında genellikle otomatik tarayıcılar ve botnetler kullanılıyor. Ayrıca, geçmişte aynı yazılımda Cl0p fidye yazılımı grubunun da zafiyetleri istismar ettiği biliniyor.
Bu nedenle, e-posta güvenliği ve ağ segmentasyonu gibi önleyici tedbirler ile birlikte, bulut güvenliği ve IAM (Kimlik ve Erişim Yönetimi) uygulamalarının da güçlendirilmesi önem taşıyor.