İçeriğe geç

Türkçe siber güvenlik haberleri, zafiyet takibi, rehberler ve vaka dosyaları.

RSS
Menü

Progress WS_FTP Server'da 10 puanlı açık, giriş yapmadan yönetici kimlik bilgilerine erişime izin verebiliyor

Progress Software, Windows'ta çalışan dosya aktarım sunucusu WS_FTP Server'daki 14 açık için 29 Ekim'de CVE kaydı yayımladı. CVSS puanı 10 olan CVE-2026-84295, giriş yapmamış bir saldırganın aralarında yönetici kimlik bilgilerinin de bulunduğu hassas bilgilere erişmesine izin verebiliyor. Bütün açıklar 2024.0.7 ve 2025.0.4 sürümlerinde kapatılmış durumda.

Kırmızı Ekip
  • 2 dk okuma
  • 6 kaynak

Kısaca

  • Açıkların ikisi belirli yapılandırmalarda işletim sistemi komutu çalıştırılmasına izin veriyor. Bunlardan 9.9 puanlı olanı düşük yetkili bir hesap gerektiriyor. 9.0 puanlı olanı giriş gerektirmiyor, ancak saldırının karmaşıklığı yüksek.
  • CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Progress Software, 29 Ekim’de dosya aktarım sunucusu WS_FTP Server’daki 14 açık için CVE kaydı yayımladı. Kayıtların hepsi yazılımın Windows sürümüyle ilgili. Açıkların bir kısmı 2024.0.6 ve 2025.0.3 sürümlerinde, geri kalanı 2024.0.7 ve 2025.0.4 sürümlerinde kapatıldı. Yani bütün açıklar için 2024 serisinde 2024.0.7, 2025 serisinde 2025.0.4 ya da daha yeni bir sürüm gerekiyor. Bu yazıdaki bilgiler Progress’in yayımladığı CVE kayıtlarından alındı.

En ciddi açıklar

  • CVE-2026-84295 (CVSS 3.1: 10.0): Hatalı kimlik doğrulama açığı. Kayda göre giriş yapmamış bir saldırgan, ağ üzerinden aralarında yönetici kimlik bilgilerinin de bulunduğu hassas bilgilere erişebilir. 2024.0.6 ve 2025.0.3 sürümlerinde kapatıldı.
  • CVE-2026-90868 (9.9): İşletim sistemi komutu enjeksiyonu (OS command injection). Belirli yapılandırmalarda komut çalıştırılmasına izin veriyor. Puana göre istismar için düşük yetkili bir hesap gerekiyor.
  • CVE-2026-90865 (9.0): FTP bildirim değişkenleri üzerinden komut enjeksiyonu. Belirli yapılandırmalarda yükseltilmiş yetkilerle komut çalıştırılmasına izin veriyor. Puana göre istismar giriş gerektirmiyor, ancak saldırının karmaşıklığı yüksek.
  • CVE-2026-90863, CVE-2026-90864 ve CVE-2026-90866 (9.1): Yetkisi belirli bir alanla sınırlandırılmış bir “Host Administrator” hesabının bu sınırın dışına çıkmasına izin veriyor. Kayıtlara göre bu açıklardan biri yükseltilmiş yetkilerle komut çalıştırılmasına ve sunucunun tamamen ele geçirilmesine, bir diğeri uzaktan kod çalıştırılmasına yol açabiliyor.
  • CVE-2026-90867 (8.1): Web yönetim konsolundaki hatalı erişim denetimi, yönetim işlevlerini uzaktan yapılan kimlik doğrulama denemelerine açık bırakabiliyor.

Diğer açıklar arasında giriş gerektirmeyen bir dosya silme açığı (CVE-2026-90871), SSH bileşeninde ve Web Transfer Module’de iki çok faktörlü kimlik doğrulama atlatma açığı, kayıtlı bir SSH açık anahtarını bilen birinin SSH servisini durdurmasına izin veren bir açık ve bir yöneticinin başka bir kullanıcının parolasını açık metin olarak görebilmesine yol açan bir açık var.

Etkilenen sürümler

  • WS_FTP Server 2024: 2024.0.7 öncesi sürümler
  • WS_FTP Server 2025: 2025.0.4 öncesi sürümler

Önerilen önlemler

WS_FTP Server’ı 2024 serisinde 2024.0.7’ye, 2025 serisinde 2025.0.4’e ya da daha yeni bir sürüme yükseltin.

Kaynaklar

  1. CVE kaydı, CVE-2026-84295cve.org (başka siteye gider)
  2. CVE kaydı, CVE-2026-90868cve.org (başka siteye gider)
  3. CVE kaydı, CVE-2026-90865cve.org (başka siteye gider)
  4. CVE kaydı, CVE-2026-90863cve.org (başka siteye gider)
  5. CVE kaydı, CVE-2026-90867cve.org (başka siteye gider)
  6. CVE kaydı, CVE-2026-90871cve.org (başka siteye gider)

Bu konuda