Kerngegevens
- Leverancier
- Progress
- Product
- WS FTP Server
- Soort software
- bestandsoverdracht
- Getroffen versies
- WS FTP Server 2024-reeks vóór 2024.0.7; 2025-reeks vóór 2025.0.4 (Windows)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WS FTP Server 2024.0.7
- WS FTP Server 2025.0.4
- CVE gepubliceerd
- 29 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de beheerinterface van WS_FTP Server van Progress Software ontbreekt een autorisatiecontrole. Daardoor kan een Host Administrator, een beheerder met gedelegeerde rechten, meer doen dan zijn rol toestaat. Volgens de leverancier kan dit leiden tot het uitvoeren van willekeurige opdrachten met verhoogde rechten en tot een volledige overname van de onderliggende server. Het lek heeft ernst kritiek, met een CVSS-score van 9,1.
Wie loopt risico?
Risico lopen organisaties die WS_FTP Server op Windows draaien met een versie ouder dan 2024.0.7 (in de reeks 2024) of ouder dan 2025.0.4 (in de reeks 2025). Een aanvaller heeft een account als Host Administrator nodig. Het risico is dus het grootst als zulke accounts bij externe partijen liggen, zwak beveiligd zijn of in verkeerde handen vallen. De beheerinterface is via het netwerk te bereiken. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Ga na of je WS_FTP Server gebruikt en welke versie er op je Windows-server draait. Versies voor 2024.0.7 en voor 2025.0.4 zijn getroffen.
Werk WS_FTP Server bij
Installeer 2024.0.7 of 2025.0.4, afhankelijk van de versielijn die je gebruikt. Dit zijn de versies waarin de leverancier het lek heeft opgelost.
Beperk de toegang tot de beheerinterface
Zorg dat de beheerinterface niet vanaf het hele internet bereikbaar is. Laat alleen vertrouwde netwerken of beheerders erbij, zeker zolang je nog niet hebt bijgewerkt.
Controleer de Host Administrator-accounts
Kijk na wie gedelegeerde beheerrechten heeft. Verwijder accounts die niet meer nodig zijn en gebruik sterke wachtwoorden voor de rest.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-90862, CVE-2026-90864, CVE-2026-90865, CVE-2026-90866, CVE-2026-90867, CVE-2026-90868 en CVE-2026-90869, en de eerder opgeloste CVE-2026-84294 en CVE-2026-84295.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een ontbrekende autorisatiecontrole (CWE-862) in de beheerinterface van WS_FTP Server op Windows. Een gedelegeerde Host Administrator kan hierdoor handelingen uitvoeren buiten zijn toegekende bevoegdheden. De leverancier stelt dat dit kan leiden tot het uitvoeren van willekeurige opdrachten met verhoogde rechten en tot een volledige compromittering van de onderliggende server. De CVSS 3.1-vector is AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H: de aanval verloopt via het netwerk, is niet complex en vereist hoge rechten (een beheerdersaccount) maar geen gebruikersinteractie. Doordat de scope verandert, reikt de impact verder dan het kwetsbare onderdeel zelf. Het lek is opgelost in versie 2024.0.7 en 2025.0.4.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-862 · Ontbrekende autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee