SolarWinds Serv-Uにサービス停止の脆弱性（CVE-2026-28318）— 認証なしでファイル転送を停止
ファイル転送サーバSolarWinds Serv-Uに、リソース枯渇（DoS）の脆弱性。認証なしで、deflate圧縮ヘッダを使った細工POSTリクエストによりServ-Uサービスをクラッシュさせうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 7.5 High）。
脆弱性の基本情報
- CVE番号CVE-2026-28318
- CVSS基本値7.5 HIGH
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- 対象（ベンダー／製品）SolarWinds Serv-U
- CWECWE-400
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-06-19（米連邦民生機関・BOD 22-01）
要点
1SolarWinds Serv-U という転送基盤
CVE-2026-28318は、SolarWinds Serv-U（企業で広く使われるファイル転送サーバ。MFT＝管理されたファイル転送やFTPの機能を提供）に存在する、制御されないリソース消費（CWE-400）の脆弱性だ。
2Content-Encoding を悪用する
公開情報によれば、認証されていない攻撃者が、Content-Encoding: deflate（deflate圧縮）ヘッダを用いた特別に細工したPOSTリクエストを送ることで、Serv-Uサービスをクラッシュさせられる。いわゆるサービス拒否（DoS）で、サーバの処理資源を意図的に枯渇させて停止に追い込む類型だ。
3可用性のみへの影響という条件
影響は可用性のみ（機密性・完全性への影響なし＝情報は盗まれない）。ただし、ファイル転送は基幹業務（取引先とのデータ授受、バッチ連携など）を支えることが多く、停止すれば業務が止まる。Serv-Uは過去にも攻撃対象となった実績があり、CISAが悪用確認済みとして掲載した意味は重い。
4資源を枯渇させて止める
この脆弱性の帰結はサービス拒否です。情報は盗まれませんが、サーバの処理資源を意図的に枯渇させて停止に追い込みます。
- 1細工したPOSTリクエストを送るContent-Encoding: deflate ヘッダを用いる
- 2処理資源が枯渇する制御されないリソース消費（CWE-400）が起きる
- 3サービスがクラッシュするServ-Uサービスが停止する
- 4業務が止まる取引先とのデータ授受やバッチ連携が支えられなくなる
影響は可用性のみで、機密性・完全性への影響はありません。ただし、ファイル転送は基幹業務を支えることが多く、停止すれば業務が止まります。Serv-Uは過去にも攻撃対象となった実績があり、CISAが悪用確認済みとして掲載した意味は重くなります。インターネットに公開している場合は特に優先し、公開範囲の見直しやアクセス制御の強化も検討することが要点です。
なぜ重要か
取引先とのデータ授受やシステム連携にServ-Uを使う組織の可用性に関わる。認証不要で外部から業務停止を起こせるため、迅速なパッチに加え、公開範囲の最小化とアクセス制御強化が要点。基幹のファイル転送基盤を守る重要性を示す。
よくある質問（FAQ）
Serv-Uとは何ですか？
DoS（サービス拒否）だけなら軽微では？
何をすべきですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。