你在使用SolarWinds的Serv-U文件传输软件吗？给你个提醒，赶紧把软件更新到最新的15.5.4版本吧。这个软件里被发现了四个关键漏洞，给了攻击者很大的机会去执行恶意代码，而且这个过程只需短短几秒就能完成。这些漏洞都能让攻击者获取root权限，危险系数相当高。具体来说，CVE-2025-40538是个访问控制漏洞，CVE-2025-40539和CVE-2025-40540是类型混淆漏洞，CVE-2025-40541则是不安全直接对象引用问题。根据厂商的说法，CVE-2025-40538最危险，恶意者能借此创建系统管理员用户并执行任意代码。这四个漏洞的CVSS评分都有9.1分。SolarWinds给The Register回函说，他们在最新版里解决了这些问题，也没发现被利用的情况。他们会继续关注并和客户合作解决问题。 不过需要注意的是，这四个漏洞都得要管理员权限才能被滥用。但好消息是，它们还没在CISA的已知被利用漏洞目录（KEV）里。不过SolarWinds的产品一直是黑客的心头好，CISA已经把早期的三个Serv-U漏洞放进了KEV里。黑客经常盯上文件共享产品，比如MOVEit和GoAnywhere，因为企业用它们存财务记录和知识产权这种敏感文件。 我们建议你立刻动手更新软件。就在本月初，CISA刚发出警报说攻击者在利用SolarWinds Web Help Desk（WHD）的一个关键漏洞CVE-2025-40551。这个漏洞刚修复没多久就被利用了。微软在几天后也通报了一起入侵事件，攻击者就是通过暴露在互联网上的WHD实例闯进受害组织的。 Q&A时间： 问：Serv-U软件发现了哪些漏洞？ 答：有四个关键漏洞，CVSS都是9.1分。包括CVE-2025-40538（访问控制）、CVE-2025-40540（类型混淆）、CVE-2025-40539（类型混淆）、CVE-2025-40541（IDOR）。 问：怎么修复？ 答：把软件升级到15.5.4版就行，官方说全解决了。 问：风险大吗？ 答：虽然需要管理员权限且还没上CISA的名单，但SolarWinds是高危目标，文件共享产品也常被盯上。赶紧更新吧。