SolarWinds Serv-U: mehrere kritische Sicherheitslücken (CVE-2026-28302, CVE-2026-16232)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 23.07.2026: Zusätzlich wurden drei weitere kritische Schwachstellen (CVE-2026-16232, CVE-2026-62144, CVE-2026-62145) mit einem CVSS-Score von 9.3 bekannt, die aktiv ausgenutzt werden. Details siehe unten.
Laut dem SolarWinds Security Advisory vom 21. Juli 2026 hat der Hersteller ein Bündel von 15 kritischen Sicherheitslücken in seiner Managed-File-Transfer-Software (MFT) Serv-U bekannt gegeben. Die Schwachstellen, angeführt von CVE-2026-28302, betreffen laut Herstellerangaben alle Versionen bis einschließlich 15.5.4 HF1. Der Hersteller bewertet das Risiko mit einem CVSS-Score von 9.1, was ein hohes Gefährdungspotenzial für betroffene Systeme signalisiert. Ein Update zur Behebung der Lücken steht zur Verfügung.
Die Fakten im Überblick
- CVE-2026-28302 und 14 weitere Schwachstellen: CVSS 9.1, betreffen alle Versionen bis 15.5.4 HF1, Patch verfügbar in Version 2026.3
- CVE-2026-16232, CVE-2026-62144, CVE-2026-62145: CVSS 9.3, betreffen Security Management Server und Multi-Domain Security Management Server (R77.30 bis R82.10), Patches verfügbar (R82.10 Take 36+, R82 Take 118+, R81.20 Take 158+), aktiv ausgenutzt
Technischer Überblick der Schwachstellen
CVE-2026-28302 und zugehörige Schwachstellen
Laut dem SolarWinds Advisory wurden für diesen Schwachstellenkomplex 15 Schwachstellen unter insgesamt 16 CVE-Kennungen dokumentiert. Die zentrale Kennung ist CVE-2026-28302, begleitet von den folgenden weiteren CVEs: CVE-2026-28304 bis CVE-2026-28317 sowie CVE-2026-28321. Die hohe Anzahl der Kennungen deutet nach Einschätzung des Herstellers auf tiefgreifende Sicherheitsprobleme in der Software hin.
Betroffene Versionen: alle Releases bis einschließlich 15.5.4 HF1 and below.
Der vom Hersteller angegebene CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H beschreibt einen netzwerkbasierten Angriff, der zwar hohe Privilegien erfordert, aber von geringer Komplexität ist. Besonders kritisch ist das Merkmal „Scope Changed“ (S:C): Es bedeutet, dass ein erfolgreicher Angriff über die Anwendungsgrenzen hinausgehen und das darunterliegende Betriebssystem kompromittieren kann. Da sowohl CVSS-Vektor als auch Score zum Zeitpunkt der Veröffentlichung ausschließlich auf Herstellerangaben basieren und eine unabhängige Verifikation über NVD noch aussteht, sollten Administratoren die Angaben direkt im SolarWinds Trust Center prüfen.
CVE-2026-16232, CVE-2026-62144 und CVE-2026-62145: Authentifizierungs-Bypass in Check Point SmartConsole
Laut Check Point Security Advisory SK185169 ermöglichen diese drei Schwachstellen einen Authentifizierungs-Bypass in der SmartConsole-Komponente von Check Point Security Management Server und Multi-Domain Security Management Server. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N beschreibt einen netzwerkbasierten Angriff ohne erforderliche Privilegien oder Benutzerinteraktion. Mit einem Score von 9.3 stellen diese Schwachstellen ein kritisches Risiko dar.
Betroffene Versionen umfassen Security Management Server und Multi-Domain Security Management Server in den Releases R77.30, R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20, R82 und R82.10. Check Point hat Patches für die aktuellen Versionen bereitgestellt: R82.10 Take 36 und höher, R82 Take 118 und höher sowie R81.20 Take 158 und höher.
Besonders kritisch: Laut Check Point werden diese Schwachstellen aktiv ausgenutzt. Angreifer können ohne Authentifizierung vollen administrativen Zugriff auf die Management-Konsole erlangen, was die vollständige Kompromittierung der verwalteten Sicherheitsinfrastruktur ermöglicht. Dies schließt Zugriff auf Konfigurationsdaten, Firewall-Regeln und potenziell sensible Netzwerkinformationen ein.
Risikobewertung für Unternehmen
SolarWinds Serv-U wird in vielen Organisationen für den automatisierten und sicheren Austausch geschäftskritischer Daten eingesetzt. MFT-Systeme sind oft tief in Kernprozesse integriert, beispielsweise für den Datenaustausch mit Lieferanten, die Verarbeitung von Transaktionen oder die Verteilung von Software. Eine Kompromittierung kann daher schwerwiegende Folgen haben, darunter:
- Datendiebstahl: Unbefugter Zugriff auf sensible Informationen, die über den Server ausgetauscht werden.
- Betriebsunterbrechungen: Manipulation oder Löschung von Daten, die für den Geschäftsbetrieb erforderlich sind.
- Laterale Ausbreitung: Nutzung des kompromittierten Servers als Brückenkopf, um über Dateiübertragungskanäle Partnerunternehmen anzugreifen (Third-Party-Breach-Szenario).
Obwohl der Angriffsvektor für CVE-2026-28302 hohe Privilegien erfordert, stellt dies in Szenarien mit gestohlenen Administrator-Zugangsdaten oder bei Insider-Bedrohungen ein realistisches Risiko dar. Die „Scope Change“-Möglichkeit erlaubt es Angreifern, Ransomware zu installieren, Daten zu exfiltrieren oder den Server als Brückenkopf für weitere Angriffe im Netzwerk zu missbrauchen.
Die neu bekannt gewordenen Check Point-Schwachstellen (CVE-2026-16232, CVE-2026-62144, CVE-2026-62145) verschärfen die Bedrohungslage erheblich, da sie keine Privilegien erfordern und bereits aktiv ausgenutzt werden. Organisationen, die Check Point Security Management Server einsetzen, sind einem unmittelbaren Risiko ausgesetzt.
SolarWinds Serv-U war in den vergangenen 24 Monaten wiederholt Ziel kritischer Sicherheitslücken: Im Februar 2026 wurden vier kritische RCE-Schwachstellen (CVE-2025-40538 bis CVE-2025-40541, CVSS 9.1) in Serv-U 15.5.4 geschlossen; im Juni 2026 nahm CISA einen aktiv ausgenutzten Denial-of-Service-Bug (CVE-2026-28318) in seinen Known-Exploited-Vulnerabilities-Katalog auf. Diese Häufung unterstreicht, dass Serv-U ein dauerhaftes Angriffsziel darstellt und ein kontinuierliches Vendor-Risk-Monitoring für SolarWinds-Produkte essenziell ist. (Quellen: BleepingComputer, Februar 2026; TheHackerNews, Juni 2026)
Für DACH-Organisationen gelten zusätzliche Meldepflichten: Bei einem bestätigten Sicherheitsvorfall mit Zugriff auf personenbezogene Daten greift die DSGVO-Meldepflicht nach Art. 33 (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde). Betreiber wesentlicher Dienste im Sinne der NIS-2-Richtlinie – etwa im Gesundheitswesen, Finanzsektor oder in der öffentlichen Verwaltung – sind darüber hinaus verpflichtet, erhebliche Sicherheitsvorfälle unverzüglich zu melden. Das BSI empfiehlt grundsätzlich die sofortige Aktualisierung exponierter MFT-Systeme und Management-Konsolen bei kritischen Schwachstellen dieser Schwere.
Empfohlene Gegenmaßnahmen
Für SolarWinds Serv-U (CVE-2026-28302 und zugehörige Schwachstellen)
Die einzige vom Hersteller empfohlene Maßnahme ist die unverzügliche Installation des bereitgestellten Updates. Laut SolarWinds-Advisory wurde die Version 2026.3 veröffentlicht, die alle beschriebenen Schwachstellen beheben soll. Alternative Schutzmaßnahmen oder temporäre Workarounds sind nach aktuellem Stand der Herstellerangaben nicht bekannt, weshalb das Update mit höchster Priorität behandelt werden sollte.
Administratoren sollten beachten, dass die Versionsbezeichnung „2026.3″ vom bisherigen Serv-U-Versionierungsschema (z. B. 15.x.x) abweicht. Bei der Suche nach dem korrekten Patch im Customer Portal oder auf der SolarWinds-Produktseite ist dies zu berücksichtigen.
Für Check Point Security Management Server (CVE-2026-16232, CVE-2026-62144, CVE-2026-62145)
Aufgrund der aktiven Ausnutzung ist die sofortige Installation der verfügbaren Patches zwingend erforderlich:
- R82.10: Update auf Take 36 oder höher
- R82: Update auf Take 118 oder höher
- R81.20: Update auf Take 158 oder höher
Für ältere Versionen (R77.30 bis R81.10) sollten Organisationen den Migrationspfad zu einer unterstützten Version prüfen oder temporäre Netzwerksegmentierung in Betracht ziehen, um die Angriffsfläche zu reduzieren. Check Point empfiehlt zusätzlich die Überprüfung von Audit-Logs auf verdächtige Authentifizierungsversuche oder ungewöhnliche administrative Aktivitäten.
Transparenz für die eigene Angriffsfläche schaffen mit LocateRisk
Sicherheitsvorfälle wie dieser unterstreichen die Notwendigkeit, die eigene externe Angriffsfläche kontinuierlich zu überwachen. Oft fehlt Unternehmen der vollständige Überblick darüber, welche Softwareversionen auf ihren öffentlich erreichbaren Systemen im Einsatz sind – insbesondere bei Schatten-IT, vergessenen Subdomains oder unkatalogisierten Cloud-Assets, die dem internen Asset-Inventar nicht bekannt sind.
LocateRisk unterstützt Organisationen dabei, diese Transparenz herzustellen:
- External Attack Surface Management (EASM): Die Plattform identifiziert kontinuierlich alle extern erreichbaren Assets und kann eingesetzte Software wie SolarWinds Serv-U oder Check Point Security Management Server durch Service-Fingerprinting erkennen. Versionsinformationen werden dabei mit aktuellen Schwachstellendatenbanken abgeglichen, sodass potenziell verwundbare Systeme in der extern sichtbaren Infrastruktur erkennbar werden können – als Grundlage für priorisiertes Patch-Management.
- Continuous Vendor Risk Management (C-VRM): Die Lösung bewertet kontinuierlich die Sicherheitslage von Lieferanten und Dienstleistern. Angesichts der wiederholten Serv-U-Vorfälle der vergangenen Monate können Unternehmen über C-VRM alarmiert werden, wenn ein kritischer Vendor wie SolarWinds oder Check Point von einer schwerwiegenden Schwachstelle betroffen ist – und so proaktiv auf Veränderungen im Risikoprofil der Lieferkette reagieren.
Durch die Kombination dieser Ansätze können Risiken, die von CVE-2026-28302 und den Check Point-Schwachstellen ausgehen, schneller identifiziert, bewertet und priorisiert werden.
Quellen und weitere Infos
Häufige Fragen
Laut SolarWinds-Advisory sind alle Versionen bis einschließlich 15.5.4 HF1 betroffen. Organisationen, die diese oder ältere Versionen betreiben, sollten umgehend auf die gepatchte Version aktualisieren.
SolarWinds hat laut Herstellerangaben die Version 2026.3 veröffentlicht, die alle 15 Schwachstellen des Komplexes beheben soll. Da die Versionsbezeichnung vom bisherigen Schema (15.x.x) abweicht, sollten Administratoren den Patch direkt über das SolarWinds Customer Portal oder das Trust Center beziehen.
Zum Zeitpunkt der Veröffentlichung des Advisories am 21. Juli 2026 lagen laut Herstellerangaben keine bestätigten Hinweise auf eine aktive Ausnutzung dieser spezifischen Schwachstellen vor. Administratoren sollten das SolarWinds Trust Center und einschlägige Threat-Intelligence-Quellen auf Aktualisierungen beobachten.
Ja. Laut Check Point Security Advisory werden diese Schwachstellen aktiv ausgenutzt. Organisationen, die betroffene Versionen des Security Management Servers einsetzen, sollten die verfügbaren Patches mit höchster Priorität installieren und ihre Systeme auf Kompromittierungszeichen überprüfen.
Betroffen sind Security Management Server und Multi-Domain Security Management Server in den Versionen R77.30 bis R82.10. Patches sind verfügbar für R82.10 (Take 36+), R82 (Take 118+) und R81.20 (Take 158+). Für ältere Versionen sollte eine Migration zu einer unterstützten Version geprüft werden.
Stand: 23.07.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Deutsch 
English 
Français