Beschreibung:
Progress Software hat am 29.10.2026 insgesamt 15 Schwachstellen im WS_FTP Server (Windows) öffentlich gemacht. Die zugehörigen Fixes sind bereits in den Service Packs 2024.0.6 / 2025.0.3 (veröffentlicht am 03.09.2026) sowie 2024.0.7 / 2025.0.4 (veröffentlicht am 01.10.2026) enthalten. Neu ist, dass mit der Veröffentlichung der CVE-Records nun die Details öffentlich sind. Server, die diese Service Packs nicht eingespielt haben, laufen damit mit öffentlich dokumentierten kritischen Lücken. Erschwerend: Die „Fixed Issues“-Seiten der Release Notes nennen die CVEs nicht, sodass Betreiber beim Einspielen eventuell nicht wussten, dass sie Sicherheitslücken schließen.
Die wichtigsten Schwachstellen:
- CVE-2026-84295 – Improper Authentication (Critical, CVSS 10,0): Fehlerhafte Authentifizierung (CWE-287) in Verbindung mit unzureichend geschützten Zugangsdaten (CWE-522). Ein nicht authentifizierter Angreifer kann aus der Ferne an sensible Informationen gelangen, einschließlich Administrator-Zugangsdaten. CVSS-Vektor:
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – über das Netzwerk erreichbar, geringe Komplexität, ohne Account und ohne Benutzerinteraktion ausnutzbar.
- CVE-2026-90868 – OS Command Injection (Critical, CVSS 9,9): Einschleusen von Shell-Operatoren und Ausführung beliebiger Befehle (CWE-78 / CWE-88). Setzt einen Account mit niedrigen Rechten auf dem Server voraus (
PR:L); laut Progress nur „unter bestimmten Konfigurationen“.
- CVE-2026-90863 / -90864 / -90866 (je Critical, CVSS 9,1): Ein delegierter Host-Administrator kann seinen autorisierten Bereich überschreiten; zwei davon können zu Befehlsausführung bzw. Remote Code Execution führen.
- CVE-2026-90865 – Command Injection (Critical, CVSS 9,0): Command Injection über FTP-Benachrichtigungsvariablen, hohe Komplexität, nur bestimmte Konfigurationen.
- CVE-2026-90867 – Improper Access Control (High, CVSS 8,1): Fehlende Zugriffskontrolle in der Web-Admin-Konsole.
Weitere behobene Schwachstellen mit Schweregrad „High“ bis „Medium“ betreffen u. a. Path Traversal im Ad Hoc Transfer (CVE-2026-84294, 7,7; CVE-2026-90871, 5,3), einen pre-authentication SSH Denial of Service (CVE-2026-90869, 7,5), MFA-Bypässe bei SSH (CVE-2026-84296, 6,8) und im Web Transfer Module (CVE-2026-90862, 4,3), Passwort-Offenlegung über Aktivitätslogs (CVE-2026-90861, 6,6) sowie Server-Side Script Injection in der Manager-Web-UI (CVE-2026-90872, 6,6).
Bei erfolgreicher Ausnutzung von CVE-2026-84295 können Administrator-Zugangsdaten ohne Anmeldung ausgelesen werden, was eine weitergehende Kompromittierung des Servers ermöglicht. Da WS_FTP Server häufig für den Dateiaustausch mit Kunden, Lieferanten und Dienstleistern eingesetzt wird, betrifft dies auch die Lieferkette.
Betroffene Versionen:
WS_FTP Server (Windows):
- CVE-2026-84295: prior to 2024.0.6 or 2025.0.3
- CVE-2026-90863 through CVE-2026-90868 and the remaining CVEs: prior to 2024.0.7 or 2025.0.4
- WS_FTP Server 2022 (8.8) and older: Retired since 04 Jul 2026, no fixes
- WS_FTP Server 2024 (9.0): in Sunset since 23 Oct 2026, no further service packs
Note: A server updated only to 2024.0.6 / 2025.0.3 is protected against the CVSS 10 flaw but remains affected by the other 14 vulnerabilities. Only 2024.0.7 / 2025.0.4 is outside the affected range of all flaws.
Behobene Versionen:
WS_FTP Server 2025.0.4 (10.0.4) and later releases
WS_FTP Server 2024.0.7 (9.0.7) and later releases
Empfohlene Maßnahmen:
Es wird dringend empfohlen, WS_FTP Server umgehend auf 2025.0.4 (empfohlen) oder mindestens 2024.0.7 zu aktualisieren
Darüber hinaus wird empfohlen:
- Admin- und delegierte Host-Administrator-Passwörter sowie vom Server gespeicherte Service- und Datenbank-Zugangsdaten nach dem Update zu rotieren, sofern der Server ungepatcht aus nicht vertrauenswürdigen Netzen erreichbar war. Eine von einem Angreifer bereits ausgelesene Zugangsinformation bleibt nach dem Upgrade gültig.
- Administrator-Konten auf unbekannte oder nicht selbst angelegte Einträge zu prüfen.
- Web-Admin- und Manager-Konsole auf vertrauenswürdige administrative Hosts und Netze zu beschränken.
- Ad Hoc Transfer, Web Transfer Module und SSH/SFTP auf die benötigten Nutzer und Netze einzuschränken bzw. zu deaktivieren, wo nicht erforderlich; delegierte Host-Administrator-Rechte auf vertrauenswürdiges Personal zu begrenzen.
- Systeme auf WS_FTP Server 2022.x oder älter auf eine unterstützte Release-Linie (2025.0) zu migrieren.
- Logs auf unerwartete Administrator-Anmeldungen, neue oder geänderte Konten sowie nicht erklärbare, vom WS_FTP-Dienst gestartete Prozesse zu prüfen.
Generell wird empfohlen, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
Einschätzung der Bedrohung:
Zum Zeitpunkt der Veröffentlichung sind keine Hinweise auf eine aktive Ausnutzung bekannt. Keine der 15 CVEs ist in der CISA-KEV-Liste (Katalogversion 2026.10.30) enthalten. CISA bewertet im SSVC die Ausnutzung als „none“, die Automatisierbarkeit jedoch als „yes“ und die technische Auswirkung als „total“. Berichten zufolge (cve.now, Stand 01.11.2026, nicht abschließend verifiziert) existiert ein erster Proof-of-Concept auf GitHub zu CVE-2026-84295.
Censys beobachtet global rund 2.500 erreichbare Instanzen, von denen ein erheblicher Teil noch ungepatchte Builds meldet. Zur Einordnung: Bereits 2023 wurden WS_FTP-Schwachstellen (CVE-2023-40044) kurz nach Veröffentlichung massenhaft ausgenutzt, inklusive Ransomware-Versuchen.
Das Risiko ist als hoch einzustufen. Insbesondere für internetseitig erreichbare Instanzen ist mit Scan- und Ausnutzungsversuchen zu rechnen.
Weiterführende Informationen:
Kritisches Update vom Hersteller empfohlen.
-1.png?width=238&height=69&name=acp_itforinnovators_logo_RGB%20(1)-1.png "Logo | ACP - IT for innovators."){kind=logo}
