Kerngegevens
- Leverancier
- Fortra
- Product
- GoAnywhere MFT
- Soort software
- bestandsoverdracht
- Getroffen versies
- GoAnywhere MFT t/m 7.8.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- GoAnywhere MFT 7.8.4
- GoAnywhere MFT (Sustain Release) 7.6.3
- CVE gepubliceerd
- 18 september 2025
- Op de KEV-lijst sinds
- 29 september 2025
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de License Servlet van Fortra GoAnywhere MFT zit een fout bij het inlezen van gegevens (deserialisatie). Een aanvaller met een vervalste, maar geldig ogende handtekening op een licentieantwoord kan een eigen object laten verwerken. Dat kan leiden tot het uitvoeren van opdrachten op de server. Het lek staat sinds september 2025 op de lijst van actief misbruikte lekken en is bekend van ransomware-aanvallen.
Wie loopt risico?
Je loopt risico als je GoAnywhere MFT gebruikt in een versie tot en met 7.8.3. De aanval gaat via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Systemen die bereikbaar zijn vanaf internet lopen daarom het meeste risico. Omdat zo'n server vaak bestanden van bedrijven en klanten beheert, kan misbruik grote gevolgen hebben.
Wat moet je doen?
Controleer of je GoAnywhere MFT gebruikt
Ga na of ergens in je organisatie GoAnywhere MFT draait en welke versie dat is. Versies tot en met 7.8.3 zijn getroffen.
Werk bij
Installeer GoAnywhere MFT 7.8.4, of 7.6.3 als je de Sustain Release gebruikt. Zie advies FI-2025-012 van Fortra.
Beperk de blootstelling
Zorg dat de beheerconsole van GoAnywhere niet vanaf internet bereikbaar is. Het lek zit in de License Servlet van de beheerkant.
Zoek naar sporen van misbruik
Het lek is gebruikt in ransomware-aanvallen. Kijk in de logbestanden van de beheerconsole naar foutmeldingen rond SignedObject.getObject, zoals Fortra in het advies beschrijft, en naar onbekende beheerdersaccounts. Schakel bij twijfel je beveiligingsteam in.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De fout zit in de License Servlet van GoAnywhere MFT en betreft het deserialiseren van onbetrouwbare gegevens. Een aanvaller met een correct vervalste handtekening op een licentieantwoord kan een door hem bepaald object laten deserialiseren. Dat kan leiden tot commando-injectie en het uitvoeren van opdrachten op het systeem. De CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C) geeft aan dat de aanval op afstand mogelijk is, weinig complex is en geen authenticatie of gebruikersinteractie vereist. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog en de scope verandert. Er is geen publiek exploit vermeld, maar het lek staat wel op de KEV-lijst.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-77 · Commando-injectie (onjuiste neutralisatie van speciale elementen in een opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 99,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 29 september 2025
- Deadline van CISA
- 20 oktober 2025
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA