Kerngegevens
- Leverancier
- Progress
- Product
- WS FTP Server
- Soort software
- bestandsoverdracht
- Getroffen versies
- WS FTP Server 2024-reeks vóór 2024.0.7; 2025-reeks vóór 2025.0.4 (Windows)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WS FTP Server 2024.0.7
- WS FTP Server 2025.0.4
- CVE gepubliceerd
- 29 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WS_FTP Server van Progress Software zit een lek waarmee een aanvaller eigen commando's op het besturingssysteem kan laten uitvoeren. Dit heet commando-injectie. Het gaat om de Windows-versie en volgens de leverancier alleen bij bepaalde configuraties. De ernst is kritiek (9,9).
Wie loopt risico?
Je loopt risico als je WS_FTP Server op Windows draait met een versie ouder dan 2024.0.7 of ouder dan 2025.0.4. De aanval gaat via het netwerk. Volgens de score heeft een aanvaller wel een account met beperkte rechten nodig, maar geen handeling van een gebruiker. Of jouw installatie kwetsbaar is, hangt af van de configuratie.
Wat moet je doen?
Controleer je versie
Kijk na of je WS_FTP Server op Windows gebruikt en welke versie er draait. Versies ouder dan 2024.0.7 of 2025.0.4 zijn getroffen.
Werk WS_FTP Server bij
Installeer 2024.0.7 of 2025.0.4, afhankelijk van de reeks die je gebruikt. Dit zijn de opgeloste versies volgens de leverancier.
Beperk de toegang
Zorg dat de server niet breder bereikbaar is vanaf het netwerk of internet dan nodig. Controleer ook welke accounts toegang hebben en verwijder accounts die je niet meer gebruikt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-90862, CVE-2026-90863, CVE-2026-90864, CVE-2026-90865, CVE-2026-90866, CVE-2026-90867 en CVE-2026-90869, en de eerder opgeloste CVE-2026-84294 en CVE-2026-84295.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS command injection (CWE-78) in WS_FTP Server van Progress Software op Windows. Invoer wordt onvoldoende gecontroleerd voordat die in een commando voor het besturingssysteem terechtkomt. Daardoor kan een aanvaller onder bepaalde configuraties willekeurige commando's uitvoeren. De CVSS 3.1-vector (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) wijst op aanval via het netwerk, lage complexiteit, lage rechten, geen gebruikersinteractie en een veranderde scope. De vertrouwelijkheid, integriteit en beschikbaarheid worden alle drie sterk geraakt. De score van 9,9 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 9,9, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,5%
- Aanvalscode openbaar
- Nee