WS_FTP Server של Progress הוא שרת שארגונים מעמידים כדי להחליף קבצים עם ספקים ולקוחות. ב-29 באוקטובר 2026 נרשמו לו ב-NVD חמש-עשרה רשומות CVE, כולן בתוך שתי דקות וכולן מפנות לאותו דף הודעה של היצרן. הגבוהה שבהן קיבלה 10 מתוך 10, אבל הפרט המעשי קבור בשורת הגרסה המתוקנת, שאינה זהה לכל החמש-עשרה.

סקירה כללית

הרשומות נחלקות לפי הגרסה שמתקנת אותן. שלוש, מ-CVE-2026-84294 עד CVE-2026-84296, מתוקנות ב-2024.0.6 וב-2025.0.3. שתים-עשרה האחרות, מ-CVE-2026-90861 עד CVE-2026-90872, דורשות 2024.0.7 או 2025.0.4. כלומר 2024.0.6 היא בעצמה גרסה חשופה: מי שהתקין אותה כדי לסגור את הציון 10 סגר שלוש וקיבל שתים-עשרה פתוחות, ובהן אחת בציון 9.9 ושלוש בציון 9.1.

שלוש אלה שקיבלו 9.1 הן הסיפור. ב-WS_FTP המנהל הראשי יכול לחלק תפקיד ניהול מצומצם, שכפוף לשרת מסוים ולתיקיות שהוקצו לו, ושלושתן מפרקות את הגבול הזה. כל הציונים כאן הם של Progress, גוף הרישום (CNA) של המוצר, ו-NVD מסמנת את חמש-עשרה הרשומות Awaiting Analysis.

מזהה: CVE-2026-84295
סוג: כשל אימות וחשיפת פרטי אימות, CWE-287 ו-CWE-522
מוצר: Progress WS_FTP Server על Windows
גרסאות מושפעות: כל אלה שלפני 2024.0.6 ושלפני 2025.0.3
גרסה מתוקנת: 2024.0.6 ו-2025.0.3, ולשתים-עשרה האחרות 2024.0.7 ו-2025.0.4
ניצול בפועל: לא, אף אחת מהחמש-עשרה אינה ברשימת ה-KEV של CISA

ציר זמן

05.10.2023: CISA מכניסה ל-KEV את CVE-2023-40044 ברכיב ה-Ad Hoc Transfer של WS_FTP, ומסמנת אותה כמי ששימשה בקמפיין כופרה.
29.10.2026, 16:19: NVD מפרסמת את שלוש הרשומות הראשונות.
29.10.2026, 16:20: דקה אחריהן מתפרסמות שתים-עשרה הנוספות, עם גרסה מתוקנת אחרת.
30.10.2026: CISA מוסיפה הערכות SSVC ומסמנת את מצב הניצול כ-none.

איך הניצול עובד

החולשה בציון 10, CVE-2026-84295, אינה דורשת הזדהות: לפי התיאור ב-NVD תוקף שמגיע לשרת מהרשת קורא ממנו מידע רגיש, ובכלל זה פרטי האימות של המנהל, ומשם הוא מתחבר כמנהל. שלוש החולשות בציון 9.1 עובדות בשלב שאחרי, כשהתפקיד המצומצם כבר בידי התוקף. באחת ממשק הניהול אינו בודק אם הפעולה המבוקשת בתחום של מי שביקש אותה, וזה CWE-862, ולפי התיאור התוצאה היא הרצת פקודות בהרשאות גבוהות והשתלטות מלאה על השרת שמתחת. בשתיים האחרות נתיב הקבצים יוצא מהתיקייה שהוקצתה, חולשה מסוג Path Traversal, ובאחת מהן זה מגיע עד הרצת קוד.

ניתוח ציון ה-CVSS

ציון CVSS: 10.0

חולשה שרק חושפת מידע מגיעה בדרך כלל לציון בינוני. כאן המידע הוא פרטי האימות של המנהל, ולכן Progress סימנה פגיעה גבוהה לא רק בסודיות אלא גם בשלמות ובזמינות: מי שקורא את הסיסמה כבר לא רק קורא.

איפה למצוא Proof of Concept (PoC)

לא פורסם PoC פומבי לאף אחת מהחמש-עשרה, וגם לא ניתוח עצמאי. המקור היחיד שאליו NVD מפנה בכולן הוא דף ידע של Progress מאחורי פורטל התמיכה, כך שהתיאורים ב-NVD הם כל מה שפומבי. מה שכן גלוי נכתב לחולשה של 2023 באותו רכיב: כלל הזיהוי של Splunk ל-WS_FTP מחפש בקשות POST ל-endpoint של ה-Ad Hoc Transfer.

אותו רכיב Ad Hoc Transfer שדרכו נכנסו ב-2023 חוזר בשתיים מהרשומות של השבוע, ושורת הגרסה המתוקנת שווה קריאה שנייה לפני חלון התחזוקה הבא.