Kerngegevens
- Leverancier
- Progress
- Product
- WS FTP Server
- Soort software
- bestandsoverdracht
- Getroffen versies
- WS FTP Server 2024-reeks vóór 2024.0.7; 2025-reeks vóór 2025.0.4 (Windows)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WS FTP Server 2024.0.7
- WS FTP Server 2025.0.4
- CVE gepubliceerd
- 29 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Progress WS_FTP Server zit een fout waardoor een aanvaller eigen opdrachten kan laten uitvoeren op het besturingssysteem. Dit heet OS-commando-injectie. De opdrachten draaien met verhoogde rechten, al gebeurt dat alleen bij bepaalde configuraties. De leverancier heeft opgeloste versies uitgebracht.
Wie loopt risico?
Je loopt risico als je WS_FTP Server op Windows draait met een versie van vóór 2024.0.7 of vóór 2025.0.4. De aanval kan via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Het lek is wel lastiger te misbruiken, omdat het afhangt van de configuratie. Servers die vanaf internet bereikbaar zijn, hebben de meeste blootstelling.
Wat moet je doen?
Controleer je versie
Ga na of je WS_FTP Server op Windows gebruikt en welke versie er draait. Versies van vóór 2024.0.7 en vóór 2025.0.4 zijn getroffen.
Werk WS_FTP Server bij
Installeer 2024.0.7 of 2025.0.4, afhankelijk van de versielijn die je gebruikt. Volg hierbij de instructies van Progress.
Beperk de blootstelling
Kun je niet direct updaten, laat de server dan niet vrij bereikbaar zijn vanaf internet. Sta alleen verkeer toe van adressen die het echt nodig hebben.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-90862, CVE-2026-90863, CVE-2026-90864, CVE-2026-90866, CVE-2026-90867, CVE-2026-90868 en CVE-2026-90869, en de eerder opgeloste CVE-2026-84294 en CVE-2026-84295.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS-commando-injectie (CWE-78) in WS_FTP Server voor Windows. Invoer wordt niet goed gezuiverd voordat die in een opdracht voor het besturingssysteem terechtkomt. Daardoor kan een aanvaller willekeurige commando's uitvoeren met verhoogde rechten, mits de configuratie dat toelaat. De CVSS-vector (3.1) geeft aanvalsroute netwerk, hoge complexiteit, geen vereiste rechten en geen gebruikersinteractie. De scope verandert, en vertrouwelijkheid, integriteit en beschikbaarheid worden zwaar geraakt. De score is afkomstig van de CNA.
CVSS-vector (versie 3.1, basisscore 9,0, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,1%
- Aanvalscode openbaar
- Nee