Двенадцать уязвимостей затрагивают MOVEit Transfer, платформу управляемой передачи файлов от Progress Software. Несколько из них обходят проверку подлинности пользователя, остальные позволяют перехватить чужую сессию и получить административный доступ к системе. Исправления появились в версиях 2025.1.6 и 2026.0.4. Риск касается организаций, которые передают через эту платформу массивы чувствительных документов.
Двенадцать уязвимостей MOVEit Transfer и исправленные версии
Бюллетень за сентябрь 2026 года Progress Software опубликовала 15 октября 2026 года. Проблемы затрагивают MOVEit Transfer 2025.0.8 и более ранние сборки, ветку 2025.1.0-2025.1.5 и ветку 2026.0.0-2026.0.3. Эксплуатация ведёт к несанкционированному доступу, административному контролю над системой, раскрытию данных, нестабильной работе сервиса и исчерпанию ресурсов. Среди симптомов вендор называет перехват сессий, потерю данных и перебои в обслуживании. О реальных атаках в бюллетене не сообщается.
Обход аутентификации и работа с сессиями
Больше всего проблем связано с входом в систему. Две уязвимости получили наивысшую оценку 8,8 по шкале CVSS. CVE-2026-89067 позволяет обойти аутентификацию, если обратиться к защищённой функции по другому пути или каналу. Вторая, CVE-2026-87093, связана с неверным назначением прав на критичный ресурс и открывает путь к повышению привилегий.
Ещё несколько уязвимостей касаются того же механизма: пропущенный шаг проверки, повтор ранее перехваченных данных, ошибка в алгоритме аутентификации, слишком долгий срок жизни сессии, неверная проверка полномочий и межсайтовый скриптинг. Оценки у них от 8,0 до 7,5. Сцепленные вместе, они позволяют захватить чужую сессию и войти в систему с правами администратора.
Внедрение в SQL- и LDAP-запросы
Отдельная группа уязвимостей связана с обработкой внешних данных. Внедрение SQL-кода угрожает содержимому базы, а внедрение в LDAP-запросы даёт возможность менять записи каталога. LDAP - протокол доступа к службам каталогов, где хранятся учётные данные и списки доступа. Кроме того, часть сборок держит конфиденциальные сведения в незащищённом виде и неверно обрабатывает текст в кодировке Unicode.
Для MOVEit такой сюжет не новый. В 2023 году группировка Cl0p использовала уязвимость нулевого дня в этом продукте и затронула тысячи организаций по всему миру. Поэтому слабые места в аутентификации MOVEit разумно закрывать в первую очередь, даже когда подтверждённой эксплуатации нет.
Над уязвимостями работали внешние исследователи. Лео Оливер (ssrfer) сообщил о трёх, Мацей Новак из Robert Bosch в Польше о двух. Мэт Гроувер, Матеуш Мечковский и Райан Винтон нашли по одной. Ещё о трёх сообщила платформа bugbunny.ai.
Обновление и контроль журналов
Установка полного дистрибутива поверх текущей версии закрывает все эти уязвимости. Процедура останавливает работу системы, поэтому окно для неё планируют заранее. Текущую сборку проверяют на вкладке License в утилите MOVEit Transfer Config.
Сборки 2026.0.0-2026.0.3 обновляют до 2026.0.4, версии 2025.1.0-2025.1.5 до 2025.1.6, а всё, что старше 2025.0.8, переносят на поддерживаемую ветку. Клиентам MOVEit Cloud ничего делать не нужно, их среды уже получили исправления. Обладатели действующего договора сопровождения скачают дистрибутив в Progress Community, остальным придётся обратиться к представителю вендора или партнёру.
Пока обновление не завершено, службам безопасности полезно следить за журналами. Внимания требуют необычные сессии, изменения в правах администраторов и серии неудачных входов.
Двенадцать уязвимостей сразу, и половина из них в механизме входа. Сроки здесь важнее обычного: MOVEit Transfer стоит на стыке обмена файлами между организациями, а значит, одна незакрытая брешь тянет за собой данные сразу нескольких сторон. Обновление занимает время и останавливает сервис, зато закрывает весь набор проблем за один проход.
Ссылки
- https://community.progress.com/s/article/MOVEit-Transfer-Critical-Security-Bulletin---September-2026
