Критический

Опубликована

CVE-2026-84295

Improper Authentication in Progress WS_FTP Server

Публикация: 29.10.2026·Обновлена: 30.10.2026, 20:18·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

Improper authentication in Progress Software WS_FTP Server versions prior to 2024.0.6 and 2025.0.3 on Windows could allow an unauthenticated remote attacker to access sensitive information, including administrative credentials.

Что это значит

Проверка личности пользователя может работать неверно. Проверьте затронутый механизм входа и доступные ему ресурсы.

Что делать

Сформировано автоматически из полей источников и общих шаблонов

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

Contact Progress Software Technical Support for guidance on available mitigations.

CVE Record: ProgressSoftware ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Progress Software / WS_FTP Server

{
  "status": "affected",
  "version": "0",
  "lessThan": "2024.0.6",
  "versionType": "custom"
}

{
  "status": "affected",
  "version": "0",
  "lessThan": "2025.0.3",
  "versionType": "custom"
}

CVSS: оценки и векторы

CVSS 3.1 · cve10

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

CVSS 3.1 · security@progress.com10

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

CVSS 3.1 · ghsa10

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-287 ↗CWE-522 ↗

Источники и ссылки

Бюллетень вендора · progress.lightning.force.com · cve Материал · nvd.nist.gov · ghsa Материал · github.com · ghsa CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "title": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.206372+00:00"
  },
  "scores": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.206372+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.206372+00:00"
  },
  "solutions": [],
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.206372+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены29.10.2026, 21:36
Данные обновлены29.10.2026, 19:45
Опубликована29.10.2026, 18:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-84296 SSH Multi-Factor Authentication Bypass in Progress WS_FTP Server Progress Software / WS_FTP Server	Средний	6.8	—	29.10.2026
CVE-2026-90861 Password Disclosure via Activity Logs Enabling Administrator Privilege Escalation in WS_FTP Server Progress Software / WS_FTP Server	Средний	6.6	—	29.10.2026
CVE-2026-90863 Privilege Escalation via Missing Authorization in WS_FTP Manager Progress Software / WS_FTP Server	Критический	9.1	—	29.10.2026
CVE-2026-90864 Host Administrator Path Containment Bypass in Progress WS_FTP Server Progress Software / WS_FTP Server	Критический	9.1	—	29.10.2026
CVE-2026-90865 Command Injection via FTP Notification Variables in Progress WS_FTP Server Progress Software / WS_FTP Server	Критический	9.0	—	29.10.2026