כל שרת העברת קבצים מבטיח דבר אחד בסיסי: שמה שנמצא בתיקייה של משתמש אחד אינו נגיש למשתמש אחר. החולשה הזאת שוברת את ההבטחה הזאת ב-WS_FTP Server של Progress. משתמש שהתחבר כרגיל יכול לצאת מהתיקייה שהוקצתה לו ולהגיע לקבצים שמחוץ לה. הציון הוא 7.7 מתוך 10, והגרסאות המתקנות הן 2024.0.6 ו-2025.0.3.

מה החולשה?

כששרת מקבל בקשה לקובץ, הוא מצרף את השם שהתקבל אל התיקייה שהמשתמש מורשה לה, ומגיש את מה שיוצא. העבודה הקריטית שלו היא לוודא שהשם שהתקבל אינו מוציא את החישוב הזה מהתיקייה. בנתיב קבצים אפשר לבקש לעלות תיקייה אחת למעלה, ואם מבקשים זאת מספיק פעמים מגיעים למקומות שאינם קשורים למשתמש כלל.

לפי הרשומה, מודול Ad Hoc Transfer בשרת אינו מגביל כראוי את שם הנתיב שהוא מקבל, ולכן משתמש מזוהה יכול להגיע לקבצים מחוץ לתיקיות המיועדות. הסיווג הוא CWE-22.

יש כאן פרט אחד בווקטור ששווה את הציון, ולא הרצת קוד. ההיקף מסומן כמשתנה, כלומר הקריאה אינה נשארת בגבול הרכיב הפגיע אלא יוצאת ממנו אל מערכת הקבצים שמסביבו. מצד שני, מבין שלושת סוגי הנזק רק הסודיות מסומנת כגבוהה: שלמות וזמינות אינן נפגעות. במילים פשוטות, החולשה מאפשרת לקרוא ולא לשנות ולא להשבית.

מה שהופך קריאה בלבד לבעיה אמיתית כאן הוא מה ששרת כזה מחזיק. ההנחה של כל מי שמעלה אליו קובץ היא שרק הצד שהוא התכוון אליו יראה אותו.

מי מושפע?

גרסאות WS_FTP Server על Windows שקודמות ל-2024.0.6, וגרסאות ענף 2025 שקודמות ל-2025.0.3. החולשה יושבת במודול Ad Hoc Transfer, החלק ששולח קבצים לנמענים חד-פעמיים.

התנאי המצמצם כאן הוא שנדרש חשבון. התוקף פונה מהרשת, אבל רק אחרי שהתחבר, ולכן מי שבסיכון הוא מי שלתוקף יש אצלו משתמש: עובד, קבלן, ספק שקיבל גישה לצורך העברה מסוימת, או חשבון שנשאר פתוח אחרי שהצורך בו נגמר.

בישראל השרת הזה יושב בארגונים ולא אצל משתמשים פרטיים, והמקרה שבו החולשה הכי משמעותית הוא שרת שמשרת כמה גורמים חיצוניים במקביל. ככל שיותר צדדים שאינם קשורים זה לזה מחזיקים חשבון על אותו שרת, כך היציאה מהתיקייה שווה יותר למי שמוצא אותה.

האם מנוצלת בפועל?

לא ידוע על ניצול. קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA מרכז חולשות שיש עליהן ראיות לשימוש בשטח, והחולשה הזאת אינה נמצאת בו נכון לעדכון האחרון של העמוד.

הרשומה פורסמה ב-29 באוקטובר 2026, והפרטים המלאים נמצאים במאמר הידע של Progress שמופיע בה כמקור. הדרישה לחשבון מורידה את הסיכוי לסריקה אוטומטית רחבה, שכן סורק שאינו מחזיק פרטי אימות אינו מגיע לכאן בכלל.

מה עושים?

1. עדכנו את השרת. בענף 2024 התיקון נמצא בגרסה 2024.0.6, ובענף 2025 בגרסה 2025.0.3, וכל גרסה מאוחרת יותר כוללת אותו.

2. עברו על רשימת החשבונות בשרת ועל מה שכל אחד מהם מורשה לו. מפני שהחולשה דורשת התחברות, זה הצמצום המעשי שבידיים שלכם: סגרו חשבונות של ספקים ושל עובדים שהצורך בהם נגמר, ובדקו שאין חשבון משותף שעובר בין אנשים.

3. בדקו אם מודול Ad Hoc Transfer נחוץ לכם בכלל. זה הרכיב שבו החולשה יושבת, ואם אינכם משתמשים בו שווה לבדוק במאמר של היצרן מה האפשרויות לגבי הפעלתו בגרסה שלכם.

4. עברו על יומני הגישה של השרת וחפשו בקשות לקבצים שאינן מתאימות לתיקייה של המשתמש שביקש אותן. מפני שהתוצאה כאן היא קריאת קבצים ולא שינוי שלהם, יומן הגישה הוא המקום שבו זה היה משאיר סימן, ולא הקבצים עצמם.