Progress Software выпустила бюллетень безопасности с исправлениями для WS_FTP Server. Сервер передаёт файлы по FTP и SFTP, а в расширенной конфигурации работает с Ad Hoc Transfer и веб-консолями администратора. Часть уязвимостей позволяет обойти проверку подлинности, выйти за пределы выделенного каталога и выполнить команды операционной системы. Затронуты все версии до исправленных.
Что вошло в бюллетень от 29 октября
Аутентификация и права администратора
Самую высокую оценку получила CVE-2026-84295 - 10 из 10 по CVSS 3.1. Ошибка в проверке подлинности открывает удалённому человеку без учётных данных доступ к чувствительным сведениям, включая административные учётные данные. Атака идёт по сети, сложность низкая, участие пользователя не требуется. Влияние на конфиденциальность, целостность и доступность высокое.
Версии 2024.0.6 и 2025.0.3 уже закрывали CVE-2026-84294, CVE-2026-84295 и CVE-2026-84296 - так сказано в самом бюллетене. Progress всё равно просит переходить на 2024.0.7 и 2025.0.4. Только эти сборки закрывают весь перечень.
Рядом стоит CVE-2026-90863 с оценкой 9,1. В интерфейсе WS_FTP Manager не хватает проверки авторизации. Делегированный администратор хоста - сотрудник с правами на часть сервера - выходит за отведённую область и доходит до выполнения команд с повышенными привилегиями. Последствие - полная компрометация сервера. Роль Host Administrator стоит выдавать только доверенным людям, а выданные области - пересмотреть.
CVE-2026-90867 (8,1) касается веб-консоли администратора. По умолчанию она открыта из недоверенных сетей, и человек без учётных данных может подбирать доступ к административным функциям. Сложность высокая, участие пользователя не требуется. Доступ к консоли ограничивают доверенными хостами и подсетями.
Два обхода многофакторной проверки. CVE-2026-84296 (6,8) в SSH-компоненте: аутентифицированный пользователь обходит MFA из-за неверного сопоставления факторов между учётными записями. Обходных мер нет. CVE-2026-90862 (4,3) в Web Transfer Module: человеку с паролем пользователя хватает одного фактора, чтобы скачать часть файлов. Участие пользователя требуется.
CVE-2026-90861 (6,6) показывает пароль в журналах активности открытым текстом. Прочитать его может другой администратор, в том числе делегированный, и расширить свои права. Пока исправление не установлено, Progress советует не менять пароли привилегированных учётных записей через FTP и ограничить доступ к журналам.
Команды, файлы и доступность сервера
CVE-2026-90868 (9,9) - внедрение команд операционной системы. Привилегии нужны низкие, сложность низкая, при определённой конфигурации атакующий выполняет произвольные команды.
CVE-2026-90865 (9,0) - ошибка того же класса, но через переменные уведомлений FTP. Сложность высокая, зато привилегии не требуются вовсе, а команды исполняются с правами системной службы.
CVE-2026-90866 (9,1) обходит ограничение виртуальных папок. Делегированный администратор покидает назначенный корень хоста, а дальше возможен переход к удалённому выполнению кода. Атака идёт по сети, нужны высокие привилегии, сложность низкая.
Похожая ошибка - CVE-2026-90864 (9,1). Делегированный администратор читает и меняет файлы вне выделенной области. Условия те же: сеть, высокие привилегии, низкая сложность.
Ещё один выход за каталог - CVE-2026-90871 (5,3), и аутентификация здесь не нужна. Атакующий удаляет файлы вне нужного каталога, если у затронутой учётной записи хватает прав. По умолчанию анонимная учётная запись стирает только созданное ею. Всё зависит от прав на каталоги Ad Hoc Transfer и Web Transfer.
CVE-2026-90872 (6,6) - внедрение серверного скрипта в веб-интерфейсе Manager. Администратор Manager выполняет произвольные команды с правами рабочего процесса IIS.
CVE-2026-90869 (7,5) останавливает SSH-службу. Атакующему достаточно знать открытый ключ, зарегистрированный за действительной учётной записью. Специально собранные данные аутентификации завершают общий SSH-сервис. Конфиденциальность и целостность не страдают, только доступность. Обходная мера - закрыть SSH/SFTP от посторонних клиентов.
CVE-2026-90870 (5,3) - истощение ресурсов через Ad Hoc Transfer. Повторные запросы без аутентификации удерживают сессии и снижают доступность сервиса. Progress советует сократить время ожидания сессии.
Как закрыть уязвимости
Исправленные версии - WS_FTP Server 2024.0.7 (9.0.7) и 2025.0.4 (10.0.4). Первая закрывает 2024.0.6 (9.0.6) и более ранние сборки, вторая - линейку 2025.0.0-2025.0.3. Обновление полным установщиком остаётся единственным способом закрыть уязвимости. Во время установки сервер недоступен.
Клиенты с действующим договором сопровождения скачивают сборки в Progress Community. Остальным стоит обратиться в команду продлений Progress или к партнёру. Если версия больше не поддерживается по жизненному циклу продукта, её придётся поднять до поддерживаемой и исправленной.
Сведений об эксплуатации в реальных атаках нет. В записях CVE блок CISA ADP помечает эксплуатацию как отсутствующую, хотя часть ошибок считает пригодной для автоматизации.
Ссылки
