Der Softwarehersteller Progress hat zum Wochenende eine Sicherheitsmitteilung zu seiner Dateitransfer-Software WS_FTP Server veröffentlicht. Wie heise online berichtet, umfasst sie zahlreiche Schwachstellen, darunter eine mit der Höchstwertung CVSS 10.0. Administratoren sollten zügig aktualisieren.
Admin-Zugangsdaten ohne Anmeldung
Die gravierendste Lücke, CVE-2026-84295, ist eine unzureichende Authentifizierung in WS_FTP Server unter Windows. Nicht angemeldete Angreifer aus dem Netz können laut Progress sensible Informationen abgreifen, darunter administrative Zugangsdaten. Betroffen sind Versionen vor 2024.0.6 und 2025.0.3.
Hinzu kommen weitere kritische Schwachstellen: Zwei Lücken erlauben das Einschleusen von Betriebssystembefehlen (CVE-2026-90868 mit CVSS 9.9 und CVE-2026-90865 mit 9.0), drei betreffen Path-Traversal und fehlende Autorisierung (jeweils CVSS 9.1). Eine weitere Lücke in der Web-Admin-Konsole ist als hoch eingestuft. Laut dem Sicherheitsunternehmen Censys beschreiben drei dieser Lücken Fälle, in denen ein delegierter Host-Administrator seine Befugnisse überschreiten kann, bis hin zur Ausführung von Code auf dem darunterliegenden Windows-Server. Außerdem listet Progress mehrere Schwachstellen mittlerer Schwere, darunter eine Umgehung der Zwei-Faktor-Authentifizierung im SSH-Modul.
Achtung bei den Versionsnummern
Wichtig ist ein Detail, auf das Censys hinweist: Die Versionen 2024.0.6 und 2025.0.3 schließen zwar die Lücke mit CVSS 10, sind aber von den übrigen kritischen Lücken weiterhin betroffen. Erst WS_FTP Server 2024.0.7 und 2025.0.4 liegen außerhalb des betroffenen Bereichs aller sieben schweren Lücken. Wer nur auf die erste Fehlerbehebung aktualisiert hat, ist also nicht vollständig geschützt.
Hinweise auf eine aktive Ausnutzung lagen zunächst nicht vor. Censys empfiehlt dennoch, nach dem Update die administrativen Zugangsdaten zu wechseln, einschließlich der delegierten Host-Administratoren: Ein bereits abgegriffenes Passwort bleibt auch nach dem Patch gültig. Progress rät zusätzlich, den Zugriff auf die Web-Admin-Konsole auf vertrauenswürdige Administrationsrechner zu beschränken, die Rolle des Host-Administrators nur vertrauenswürdigem Personal zu geben und virtuelle Ordnerpfade zu prüfen.
Beliebtes Ziel
Dateitransfer-Software ist seit Jahren ein bevorzugtes Ziel von Angreifern, weil dort oft sensible Geschäftsdaten liegen und die Server aus dem Internet erreichbar sind. Progress war bereits 2023 mit der MOVEit-Lücke im Fokus, über die die Erpressergruppe Cl0p bei Hunderten Organisationen Daten erbeutete. Auch WS_FTP war im selben Jahr von einer kritischen, aktiv ausgenutzten Lücke betroffen.
Für die Praxis heißt das: Zuerst die installierte Version prüfen, dann direkt auf den jeweils neuesten Build des eigenen Versionszweigs aktualisieren und anschließend die Protokolle auf ungewöhnliche Anmeldungen und Dateizugriffe durchsehen. Wo der Server aus dem Internet erreichbar ist, sollte die Admin-Oberfläche hinter ein VPN oder eine IP-Freigabeliste wandern.
Positiv ist, dass Progress die Lücken offenlegt und Updates bereitstellt, bevor Angriffe bekannt sind. Damit haben Administratoren einen zeitlichen Vorsprung, den sie nutzen sollten.
