Sicherheitslücken in Progress WS_FTP ermöglichen Kompromittierung

Zahlreiche Schwachstellen gefährden Systeme mit WS_FTP aus dem Hause Progress. Die Datentransfersoftware hat sogar eine Sicherheitslücke mit Höchstwertung. Admins sollten zügig aktualisieren.

Eine Sicherheitsmitteilung hat Hersteller Progress zum Wochenende veröffentlicht. Die gravierendste Lücke ist eine unzureichende Authentifizierung in WS_FTP-Server-Versionen vor 2024.0.6 und 2025.0.3 unter Windows, wodurch nicht angemeldete Angreifer aus dem Netz sensible Informationen einschließlich Admin-Zugangsdaten abgreifen können (CVE-2026-84295, CVSS 10.0, Risiko „kritisch“).

Die weiteren Sicherheitslücken nach Schweregrad sortiert:

• OS command injection vulnerability in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90868, CVSS 9.9, Risiko „kritisch“)
• Path traversal vulnerability in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90866, CVSS 9.1, Risiko „kritisch“)
• Path traversal vulnerability in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90864, CVSS 9.1, Risiko „kritisch“)
• Missing authorization in the administrative interface of WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90863, CVSS 9.1, Risiko „kritisch“)
• OS command injection vulnerability in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90865, CVSS 9.0, Risiko „kritisch“)
• Improper access control in the Web Admin console of WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90867, CVSS 8.1, Risiko „hoch“)
• Improper limitation of pathname in the Ad Hoc Transfer component of WS_FTP Server vor 2024.0.6 und 2025.0.3 (CVE-2026-84294, CVSS 7.7, Risiko „hoch“)
• Termination of the shared SSH service in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90869, CVSS 7.5, Risiko „hoch“)
• Multi-Factor Authentication Bypass vulnerability in SSH component in WS_FTP Server vor 2024.0.6 und 2025.0.3 (CVE-2026-84296, CVSS 6.8, Risiko „mittel“)
• WS_FTP Server vor 2024.0.7 und 2025.0.4 may expose a user’s password (CVE-2026-90861, CVSS 6.6, Risiko „mittel“)
• Improper neutralization of directives in dynamically evaluated code in the Manager web console of WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90872, CVSS 6.6, Risiko „mittel“)
• Missing release of backend receiver sessions in the Ad Hoc Transfer component of WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90870, CVSS 5.3, Risiko „mittel“)
• Improper limitation of a pathname to a restricted directory in WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90871, CVSS 5.3, Risiko „mittel“)
• Improper authentication in the Web Transfer Module of WS_FTP Server vor 2024.0.7 und 2025.0.4 (CVE-2026-90862, CVSS 4.3, Risiko „mittel“)

Softwareversionen mit Fehlerkorrekturen

Die Aktualisierungen von WS_FTP Server 2025 beschreibt Progress in Release-Notizen, die öffentlich einsehbar sind. Die Version 2025.0.4 ist demnach seit dem 1. Oktober dieses Jahres verfügbar, für den 2024er-Zweig steht seit demselben Tag Version 2024.0.7 bereit.

Cyberkriminelle nutzen Schwachstellen in derartigen Datenübertragungslösungen mit Vorliebe, um sensible Daten abzugreifen und Unternehmen damit zu erpressen. Im Jahr 2024 etwa hatten bösartige Akteure in Progress MOVEit Transfer eine Sicherheitslücke angegriffen. Ein Jahr zuvor hatte die Cyberbande Cl0p Daten bei vielen betroffenen Organisationen abgegriffen und Lösegeldforderungen gestellt.

(dmk)