Kerngegevens
- Leverancier
- Progress
- Product
- WS FTP Server
- Soort software
- bestandsoverdracht
- Getroffen versies
- WS FTP Server 2024-reeks vóór 2024.0.6; 2025-reeks vóór 2025.0.3 (Windows)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WS FTP Server 2024.0.6
- WS FTP Server 2025.0.3
- CVE gepubliceerd
- 29 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WS_FTP Server voor Windows zit een fout in de controle van wie er mag inloggen of bepaalde gegevens mag opvragen. Daardoor kan iemand zonder account via het netwerk gevoelige informatie inzien, waaronder beheerdersgegevens. De ernst is kritiek (10,0). Met die beheerdersgegevens kan een aanvaller mogelijk meer doen dan alleen meekijken.
Wie loopt risico?
Je loopt risico als je WS_FTP Server op Windows draait in een versie ouder dan 2024.0.6 (bij de reeks 2024) of ouder dan 2025.0.3 (bij de reeks 2025). Vooral servers die via het netwerk of internet bereikbaar zijn, zijn kwetsbaar, omdat de aanvaller geen inlog en geen medewerking van een gebruiker nodig heeft. Er is in de gegevens geen melding dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na of je WS_FTP Server op Windows gebruikt en welke versie er draait. Versies voor 2024.0.6 en voor 2025.0.3 zijn getroffen.
Werk WS_FTP Server bij
Installeer minimaal 2024.0.6 (2024-reeks) of 2025.0.3 (2025-reeks). Ga bij voorkeur meteen naar 2024.0.7 of 2025.0.4: daarin heeft Progress ook een reeks andere kritieke lekken opgelost.
Beperk de bereikbaarheid
Laat de server waar mogelijk niet rechtstreeks vanaf het internet bereikbaar zijn totdat de update is geïnstalleerd, bijvoorbeeld via een firewall of VPN.
Overweeg beheerdersgegevens te vernieuwen
Omdat beheerdersgegevens in te zien waren, kun je na de update de wachtwoorden van beheerdersaccounts laten wijzigen en de logboeken nalopen op ongebruikelijke toegang.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-84294. Met 2024.0.7 of 2025.0.4 los je daarnaast CVE-2026-90862 tot en met CVE-2026-90869 op.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is geclassificeerd als CWE-287, onjuiste authenticatie, in Progress WS_FTP Server voor Windows. Een niet-geauthenticeerde aanvaller kan het lek op afstand via het netwerk misbruiken om gevoelige informatie op te vragen, waaronder beheerdersgegevens. De CVSS-vector (CVSS 3.1, score 10,0, afkomstig van de CNA) geeft aan dat de aanval laag complex is, geen rechten en geen gebruikersinteractie vereist, en dat de scope verandert. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid worden alle drie als hoog beoordeeld. Opgelost in 2024.0.6 en 2025.0.3.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Nee