חולשה חדשה ב-WS_FTP Server של Progress קיבלה את הציון 10 מתוך 10, והיא אינה חולשת הרצת קוד. תוקף מהרשת שלא הזדהה כלל יכול להגיע למידע רגיש בשרת, ולפי הרשומה המידע הזה כולל את פרטי האימות של המנהל. הרשומה פורסמה ב-29 באוקטובר 2026, ואין בה דיווח על ניצול.
מה החולשה?
שרת העברת קבצים בנוי סביב שאלה שנשאלת לפני כל השאר: מי הפונה, ומה מותר לו. התשובה היא מה שמפריד בין הקבצים של משתמש אחד לשל אחר, ובין משתמש רגיל לממשק הניהול של השרת.
בחולשה הזאת הבדיקה הזאת אינה מיושמת כראוי, ופנייה מגיעה אל מידע בלי שהשרת אימת מי שלח אותה. הסיווג הוא CWE-287, כשל בבדיקת הזהות. הרשומה אינה מפרטת איזו פנייה חושפת את המידע ובאיזה מסלול, ומי שצריך את הפרטים ימצא אותם במאמר הידע של Progress שמופיע בה כמקור.
את הציון מסביר סוג המידע שנחשף. פרטי אימות של מנהל אינם עוד פיסת מידע שדלפה, הם המשך הדרך: התוקף מתחבר איתם כמנהל, ומאותו רגע הוא עובד בתוך הממשק בלי לנצל שום דבר. בגלל זה חולשה של חשיפת מידע מקבלת כאן ציון ששמור בדרך כלל להרצת קוד.
מי מושפע?
מושפעות גרסאות WS_FTP Server על Windows שקודמות ל-2024.0.6, וגרסאות ענף 2025 שקודמות ל-2025.0.3. שימו לב שמספור הגרסאות של המוצר עבר לשנים, כך שהמספרים האלה אינם המשך של המספור הישן.
בישראל מדובר בארגונים שמעבירים קבצים עם גורמים חיצוניים, ולא במשתמש פרטי. אם אינכם יודעים אם יש אצלכם שרת כזה, את התשובה מחזיק צוות התשתיות או מי שמנהל את העברות הקבצים מול ספקים ולקוחות.
האם מנוצלת בפועל?
נכון לעדכון האחרון של הרשומה, ב-30 באוקטובר 2026, החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של חולשות שיש עליהן ראיות לניצול בשטח. אין ניצול ידוע.
"אין ניצול ידוע" אינו אותו דבר כמו "אין ניצול". הרשומה בת ימים אחדים, חולשה בציון 10 שאינה דורשת הזדהות היא מהסוג שנבדק מהר, והקטלוג מתעדכן. גם העמוד הזה מתעדכן איתו.
מה עושים?
עדכנו לפי הענף שרץ אצלכם: בענף 2024 היעד הוא 2024.0.6, ובענף 2025 הוא 2025.0.3.
אחרי העדכון החליפו את פרטי האימות של חשבונות הניהול בשרת. זה החלק שאי אפשר לדלג עליו. החולשה חושפת בדיוק אותם, ועדכון אינו משנה סיסמה שאולי כבר יצאה מהשרת לפניו.
עברו על יומני ההתחברות של ממשק הניהול וחפשו כניסות מכתובות שאינן שלכם ובשעות שאינן שעות עבודה. תוקף שנכנס עם פרטים אמיתיים אינו נראה ביומן כתקיפה, הוא נראה כמנהל.
ואם השרת נגיש מהאינטרנט, שאלו אם הוא צריך להיות. ממשק הניהול בפרט אינו חייב לשבת בחוץ, וזאת הגדרה שאינה תלויה בגרסה ומקטינה את החשיפה גם לחולשה הבאה.