Multiple critical vulnerabilities (CVE-2025-40538, CVE-2025-40539, CVE-2025-40540) in SolarWinds Serv-U, each with a CVSS 3.1 score of 9.1, allow for remote code execution and security policy bypass. These affect all Serv-U versions prior to 15.5.4. The fix requires an immediate upgrade to Serv-U version 15.5.4.
Premier Ministre S.G.D.S.N Agence nationale de la sécurité des systèmes d'information Paris, le 25 février 2026 N° CERTFR-2026-AVI-0205 Affaire suivie par: CERT-FR Avis du CERT-FR Objet: Multiples vulnérabilités dans SolarWinds Serv-U Gestion du document Référence CERTFR-2026-AVI-0205 Titre Multiples vulnérabilités dans SolarWinds Serv-U Date de la première version 25 février 2026 Date de la dernière version 25 février 2026 Source(s) Bulletin de sécurité SolarWinds cve-2025-40538 du 24 février 2026 Bulletin de sécurité SolarWinds cve-2025-40539 du 24 février 2026 Bulletin de sécurité SolarWinds cve-2025-40540 du 24 février 2026 Bulletin de sécurité SolarWinds cve-2025-40541 du 24 février 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Contournement de la politique de sécurité Exécution de code arbitraire à distance Systèmes affectés Serv-U versions antérieures à 15.5.4 Résumé De multiples vulnérabilités ont été découvertes dans SolarWinds Serv-U. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et un contournement de la politique de sécurité. Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité SolarWinds cve-2025-40538 du 24 février 2026 https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40538 Bulletin de sécurité SolarWinds cve-2025-40539 du 24 février 2026 https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40539 Bulletin de sécurité SolarWinds cve-2025-40540 du 24 février 2026 https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40540 Bulletin de sécurité SolarWinds cve-2025-40541 du 24 février 2026 https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40541 Référence CVE CVE-2025-40538 https://www.cve.org/CVERecord?id=CVE-2025-40538 Référence CVE CVE-2025-40539 https://www.cve.org/CVERecord?id=CVE-2025-40539 Référence CVE CVE-2025-40540 https://www.cve.org/CVERecord?id=CVE-2025-40540 Référence CVE CVE-2025-40541 https://www.cve.org/CVERecord?id=CVE-2025-40541 Gestion détaillée du document le 25 février 2026 Version initiale