Progress WS_FTP Server'da 15 açık, biri kimlik doğrulamasız yönetici bilgilerini sızdırıyor (CVSS 10)
Progress, WS_FTP Server için 15 CVE kaydı yayımladı. En ağır iki açık, kimlik doğrulamasız erişimle yönetici bilgilerinin ele geçirilmesi (CVE-2026-84295, CVSS 10) ve düşük yetkili hesapla komut çalıştırma (CVE-2026-90868, CVSS 9.9). Hedef sürüm 2025.0.4 ya da 2024.0.7.
CVE-2026-84295, CVE-2026-90868, CVE-2026-90863
MOVEit'in de üreticisi olan Progress Software, Windows tabanlı dosya transfer sunucusu WS_FTP Server için 29 Ekim'de 15 CVE kaydı yayımladı. Altısı kritik. En ağırı CVE-2026-84295 (CVSS 10): kimlik doğrulaması yetersiz olduğu için saldırgan hiç oturum açmadan yönetici kimlik bilgileri dahil hassas bilgilere erişebiliyor. Hemen arkasından gelen CVE-2026-90868 (CVSS 9.9) ise bazı yapılandırmalarda düşük yetkili bir hesabın işletim sistemi komutu çalıştırmasına imkân veriyor.
Şu ana kadar aktif istismar bildirilmedi, açıklar KEV kataloğunda değil ve yayımlanmış exploit kodu görülmedi. Ancak internete açık dosya transfer sunucuları geçmişte fidye yazılımı gruplarının en sevdiği hedeflerden oldu; bu tablo uzun süre sakin kalmayabilir. Düzeltmeler 3 Eylül ve 1 Ekim'de çıkan sürümlerde zaten var.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| WS_FTP Server 2025.0 (10.0) | 2025.0.4 öncesi | 2025.0.4 (10.0.4) |
| WS_FTP Server 2024.0 (9.0) | 2024.0.7 öncesi | 2024.0.7 (9.0.7) |
| WS_FTP Server 2022.x (8.8) ve öncesi | Destek dışı | Desteklenen sürüme geçiş |
CVE-2026-84295 ve diğer üç açık 2025.0.3 / 2024.0.6'da kapatıldı; CVE-2026-90868 ve kalan açıklar 2025.0.4 / 2024.0.7'de. Tek hedef olarak 2025.0.4 ya da 2024.0.7 ve üstü her ikisini kapsıyor. Diğer kritik kayıtlar: Delegated Host Admin yetkisiyle yönetim arayüzünde yetki eksikliği ve dizin sınırı atlatma (CVE-2026-90863, CVE-2026-90864, CVE-2026-90866, hepsi 9.1) ile FTP bildirim değişkenleri üzerinden komut enjeksiyonu (CVE-2026-90865, 9.0). Listede SSH MFA atlatma ve anonim hesapla dosya silmeye yol açan path traversal gibi orta seviyeli açıklar da var. Ayrıca 2024 (9.0) hattı 23 Ekim'de Sunset aşamasına geçti, yeni service pack almayacak.
Beni etkiliyor mu?
WS_FTP Server kurulu Windows sunucuda sürümü kontrol edin:
Get-ItemProperty 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' | Where-Object DisplayName -like '*WS_FTP*' | Select-Object DisplayName, DisplayVersionSürüm 10.0.4 ya da 9.0.7'nin altındaysa etkileniyorsunuz. Web Admin, Manager, Ad Hoc Transfer ve Web Transfer modüllerinin internetten erişilebilir olup olmadığını da firewall ve NAT kayıtlarınızdan kontrol edin.
Ne yapılmalı?
- Sunucuyu 2025.0.4 ya da daha yeni bir sürüme yükseltin; 2024 hattındaysanız en az 2024.0.7'ye çıkın ve 2025.0'a geçişi planlayın.
- Yamasız sürümün internete açık çalıştığı sunucularda yükseltmeden sonra WS_FTP yönetici parolalarını ve sunucuda saklanan kimlik bilgilerini değiştirin.
- Workaround: Web Admin ve Manager konsollarını yalnızca güvenilir yönetim ağlarından erişilebilir hale getirin; Ad Hoc Transfer, Web Transfer ve SSH/SFTP erişimini ihtiyaç duyan kullanıcı ve ağlarla sınırlayın.
- Host Administrator ve Delegated Host Admin yetkilerini gözden geçirin, kullanılmayan yönetici hesaplarını devre dışı bırakın.
- Sunucu ve aktivite loglarında beklenmedik yönetici girişi, yeni hesap ya da olağan dışı komut çalıştırma izlerini arayın.
