WS_FTP Server: Progress meldet 15 Lücken, CVE-2026-84295 mit CVSS 10
Progress hat am 29. Oktober 2026 ein Sicherheitsbulletin zu 15 Lücken in WS_FTP Server veröffentlicht, darunter CVE-2026-84295 mit CVSS 10. Laut CVE-Eintrag können Angreifer ohne Anmeldung an sensible Daten bis hin zu Admin-Zugangsdaten gelangen. Korrigiert sind alle Lücken erst in 2024.0.7 und 2025.0.4.
Progress hat am 29. Oktober 2026 ein Sicherheitsbulletin zu WS_FTP Server veröffentlicht, zuletzt geändert am 30. Oktober. Es führt 15 Schwachstellen auf, die schwerste ist CVE-2026-84295 mit CVSS 10. Alle Lücken sind erst in den Versionen 2024.0.7 (9.0.7) und 2025.0.4 (10.0.4) behoben. Die Korrektur für CVE-2026-84295 kam bereits am 3. September mit 2024.0.6 und 2025.0.3, die übrigen Lücken schließen die Versionen vom 1. Oktober. Das Bulletin dazu folgte erst Ende Oktober.
Betroffen sind alle Installationen von WS_FTP Server unter diesen Versionen. Für Systeme, die aus dem Internet erreichbar sind, sollte das Update sofort eingeplant werden, für rein interne Server im nächsten Wartungsfenster dieser Woche. Andere Progress-Produkte behandelt dieses Bulletin nicht.
Was ist passiert?
Das Bulletin trägt im Titel den Monat September, die Seite selbst ist auf den 29. Oktober datiert. CVE-2026-84295 ist laut CVE-Beschreibung eine fehlerhafte Authentifizierung in WS_FTP Server unter Windows. Angreifer ohne Anmeldung können demnach aus der Ferne an sensible Informationen gelangen, einschließlich administrativer Zugangsdaten.
Dazu kommen sechs weitere Lücken mit CVSS 8,1 bis 9,9. CVE-2026-90868 (CVSS 9,9) und CVE-2026-90865 (CVSS 9,0) sind Command Injections. Die erste setzt laut CVSS-Vektor ein Konto mit geringen Rechten voraus, die zweite keine Anmeldung, aber hohe Angriffskomplexität und eine bestimmte Konfiguration. CVE-2026-90867 (CVSS 8,1) betrifft die Web-Admin-Konsole, die laut Progress standardmäßig aus nicht vertrauenswürdigen Netzen erreichbar war. Zwei weitere Lücken umgehen unter bestimmten Bedingungen die Mehrfaktor-Anmeldung.
Wer ist betroffen?
Die Tabelle des Herstellers nennt 2025.0.0 bis 2025.0.3 sowie 2024.0.6 und älter. Vorsicht bei Versionen, die schon einmal aktualisiert wurden: 2024.0.6 und 2025.0.3 schließen zwar CVE-2026-84294, CVE-2026-84295 und CVE-2026-84296, nicht aber die übrigen zwölf Lücken. Wer auf diesen Ständen ist, muss laut Progress trotzdem aktualisieren. Für Versionen außerhalb des Supports verweist der Hersteller auf ein Upgrade auf eine unterstützte Fassung.
Wie kritisch ist das?
Als wahrscheinlichsten Angriffspfad sieht die Redaktion den Abgriff von Zugangsdaten über CVE-2026-84295 aus dem Netz: Die Lücke braucht keine Anmeldung und laut Bewertung keine besonderen Bedingungen, die Folgen sind kritisch. Aktive Ausnutzung der neuen Lücken meldet Progress nicht, im KEV-Katalog der CISA (Stand 30. Oktober) stehen sie nicht. Unsicher bleibt das trotzdem: Mit CVE-2023-40044 führt der Katalog bereits eine ältere WS_FTP-Lücke als ausgenutzt, und laut heise nutzen Kriminelle solche Dateitransfer-Produkte gern zum Datendiebstahl.
Was sollten Admins jetzt tun?
- Inventar: Alle WS_FTP-Server samt Version erfassen, Progress beschreibt die Abfrage in seiner Wissensdatenbank.
- Update: Auf 2024.0.7 oder 2025.0.4 aktualisieren. Das geht laut Progress nur mit dem vollständigen Installer und bringt eine Unterbrechung des Dienstes.
- Erreichbarkeit: Web-Admin-Konsole und Manager nicht aus dem Internet erreichbar machen.
- Prüfung: War ein Server bis zum Update offen erreichbar, Admin-Konten auf unbekannte Anmeldungen und Änderungen prüfen. Admin-Passwörter ändern ist aus Sicht der Redaktion eine sinnvolle Vorsicht, Progress verlangt es nicht.
- Logs: Dateizugriffe und Aktivitätsprotokolle sichern. Anzeichen für eine Kompromittierung nennt das Bulletin nicht.
Einordnung für Unternehmen
Dateitransfer-Server stehen oft im Internet und halten fremde Daten. Der Abstand zwischen den Updates im September und Oktober und dem Bulletin Ende Oktober gibt Betreibern, die regelmäßig patchen, einen Vorsprung. Wer die Oktober-Version noch nicht installiert hat, sollte das nachholen, bevor technische Details zu den Lücken die Runde machen. Weil das Update den vollständigen Installer braucht, sollte ein kurzer Ausfall eingeplant werden.
Passende Anleitungen auf S-EDV
- SFTPGo auf dem Synology NAS installieren: sicherer SFTP- und WebDAV-Server
- Ivanti Connect Secure: Zwei weitere ausgenutzte Lücken gepatcht
