WS_FTP Server: kritikus hibák veszélyeztethetik a bizalmas fájlátvitelt

A Progress WS_FTP Server fájlátviteli platformjában több súlyos sérülékenységet részleteztek 2026. október 29-én. A két legfontosabb hiba a CVE-2026-84295, amely bejelentkezés nélküli hozzáférést tehet lehetővé bizalmas információkhoz és adminisztratív hitelesítőadatokhoz, valamint a CVE-2026-90868, amely bizonyos konfigurációkban szerveroldali parancsfuttatáshoz vezethet.

A WS_FTP Servert vállalatok üzleti állományok továbbítására, időzített adatcserére és partnerek közötti fájlátvitelre használhatják. Ezért a platform hibái azokon a helyeken különösen fontosak, ahol pénzügyi, ügyfél- vagy más érzékeny adatokat mozgatnak. Nincs megerősített adat arról, hogy a közzétett hibákkal banki adatokat loptak volna el.

Adminisztrátori hitelesítőadatokhoz vezethet az első hiba

A CVE-2026-84295 a Progress hivatalos CVE-leírása szerint nem megfelelő hitelesítésből ered. Az érintett Windows-alapú WS_FTP Server példányoknál egy távoli, bejelentkezés nélküli támadó érzékeny adatokhoz, köztük adminisztrációs hitelesítőadatokhoz férhet hozzá. A gyártó által megadott súlyosság CVSS 3.1: 10,0 – kritikus.

Ez önmagában is jelentős kockázat, mivel egy fájlátviteli szolgáltatás jogosultságai a szerverre feltöltött és a szerverről letöltött állományok elérését befolyásolhatják. Az azonban nem állítható pusztán a CVE-adatlap alapján, hogy a hibát bárhol ténylegesen kihasználták, vagy hogy minden telepítés ugyanazokat a hitelesítőadatokat teszi hozzáférhetővé.

Érintett kiadások: a 2024-es ág 2024.0.6 előtti, illetve a 2025-ös ág 2025.0.3 előtti verziói. A hiba javítása már a 2026. szeptember 3-án megjelent 2024.0.6 és 2025.0.3 kiadásokban megtörtént.

Második hiba: parancsfuttatás meghatározott konfigurációknál

A CVE-2026-90868 olyan operációsrendszer-parancsinjektálási sérülékenység, amely egyes konfigurációkban tetszőleges parancsok végrehajtásához vezethet a WS_FTP-kiszolgálón. A Progress a hibát CVSS 3.1: 9,9 értékűnek minősíti. A CVSS-vektor alacsony jogosultságú hozzáférést feltételez, ezért ezt a sérülékenységet nem helyes általánosan hitelesítés nélküli RCE-ként leírni.

Érintett: WS_FTP Server 2024.0.7 előtti, illetve 2025.0.4 előtti Windowsos kiadások. A javítás 2026. október 1-jén érkezett meg a 2024.0.7 és 2025.0.4 verziókban. Ez a javítási határ későbbi, mint a hitelesítőadat-hozzáférési hibánál.

További problémák és a szerver jogosultságai

A két kiemelt CVE mellett a Progress 2026. október 29-én további WS_FTP Server-sérülékenységeket is nyilvánosságra hozott. Ezek között jogosultságkezelési problémák, útvonalellenőrzési hibák, a webes adminisztrációs felülethez kapcsolódó sérülékenységek és fájlműveleti kockázatok is szerepelnek. Egy részük már hitelesített felhasználói, sőt bizonyos esetekben delegált adminisztrátori hozzáférést igényel.

Ennek gyakorlati tanulsága, hogy egy fájlátviteli szerver biztonsága nem kizárólag az interneten elérhető bejelentkezési oldalon múlik. Az átruházott jogosultságok, a virtuális könyvtárak, az automatikus értesítések és a csatlakozó rendszerek hitelesítőadatai is a biztonsági határ részét képezik.

Miért fontos ez pénzügyi és adatvédelmi szempontból?

Pénzügyi vagy más szabályozott tevékenységet folytató szervezetek gyakran fájlalapú csatornákon továbbítanak partnereknek üzleti kimutatásokat, elszámolási adatokat és személyes információkat. A titkosított hálózati átvitel fontos, de nem helyettesíti a fájlokat kezelő alkalmazás és a hozzáféréseket felügyelő adminisztrációs komponens biztonságát.

Ha a támadó hozzáfér a kiszolgáló hitelesítőadataihoz vagy a szolgáltatás nevében parancsokat tud végrehajtani, az a kapcsolódó adatfolyamatok bizalmasságát és működését is veszélyeztetheti. A közlemények lehetséges következményeket ismertetnek; sem banki adatlopást, sem egy meghatározott szolgáltató kompromittálását nem bizonyítják.

Üzemeltetői lépések: frissítés, hozzáférések, naplók

A legfontosabb intézkedés a saját üzemeltetésű WS_FTP Server telepítések verzióellenőrzése. A két kiemelt hibára együttesen megfelelő javított kiadások: 2024.0.7 vagy 2025.0.4 és az ezeket követő javított verziók. A Progress termék-életciklus nyilvántartása szerint a 2024-es ág 2026. október 23-án kilépett az aktív támogatási szakaszból, ezért hosszabb távon a támogatott 2025-ös ágra való átállás tervezése indokolt.

Az üzemeltetőknek célszerű korlátozni az interneten elérhető adminfelületeket, felülvizsgálni a szolgáltatói és partnerfiókokat, ellenőrizni az ismeretlen adminisztrátori belépéseket, a gyanús fájltovábbításokat és a szokatlan szerverfolyamatokat. Korábban sérülékeny, nyilvánosan elérhető telepítésnél az incidensvizsgálat és a veszélyeztetett hitelesítőadatok cseréje is indokolt lehet.