wsftp-server-scanner

فرز محلي لدفعة تصحيحات Progress WS_FTP Server الصادرة في 29 أكتوبر 2026: 15 ثغرة، إحداها بدرجة 10.0. أعطه إصدارًا تملكه، وسيخبرك ما إذا كان ذلك التثبيت لا يزال مكشوفًا، ويكشف الفخ الذي يجعل أول بناء مُصحَّح يضلّلك. لا يلمس الشبكة أبدًا، ولا يفحص أي خادم، ولا يرسل أي حمولة.

الدفعة

التفصيل	القيمة
العنوان الرئيسي	CVE-2026-84295، مصادقة غير سليمة، 10.0 حرجة: يمكن لمهاجم بعيد غير مُصادَق الوصول إلى معلومات حساسة، بما في ذلك بيانات اعتماد إدارية
التالي في السوء	CVE-2026-90868، حقن أوامر نظام التشغيل، 9.9؛ CVE-2026-90864، CVE-2026-90863، CVE-2026-90866 بدرجة 9.1؛ CVE-2026-90865، حقن أوامر نظام التشغيل، 9.0
الإجمالي	15 ثغرة CVE: 6 حرجة، 3 عالية، 6 متوسطة، وفقًا لتقرير الدفعة
الاستغلال	لا شيء مؤكد، ولم يُبلَّغ عن أي إثبات مفهوم علني، حتى 31 أكتوبر 2026. هذا بيان عمّا تم الإبلاغ عنه، وليس سببًا للانتظار: ثغرة بدرجة 10.0 في المصادقة دون الحاجة إلى مصادقة داخل بوابة نقل ملفات لا تحتاج إلى فتيل طويل
المنتج	Progress WS_FTP Server على Windows فقط

الفخ: بناءان مُصحَّحان، لا بناء واحد

المجموعة	الثغرات	مُصحَّح في
A	CVE-2026-84294، CVE-2026-84295، CVE-2026-84296	2024.0.6 / 2025.0.3
B	CVE-2026-90861 حتى CVE-2026-90872 (12 ثغرة)	2024.0.7 / 2025.0.4

المضيف الذي يعمل على 2024.0.6 أو 2025.0.3 قد أغلق ثغرة 10.0 ولا يزال مكشوفًا لثغرة حقن أوامر نظام التشغيل بدرجة 9.9. الترقيع إلى أول بناء مُصحَّح يبدو إنجازًا مكتملًا وليس كذلك. يصنّف هذا الأداة المجموعتين بشكل منفصل ويطبع TRAP لتلك الحالة تحديدًا. البناءان الوحيدان المُصحَّحان بالكامل في الجدول هما 2024.0.7 و2025.0.4 (والبناءات اللاحقة في هذين الفرعين).

لماذا محلي، لا بعيد

يعمل WS_FTP Server على Windows، والبصمة البعيدة للإصدار غير موثوقة هنا: يمكن إخفاء لافتة تسجيل الدخول ويمكن تعطيل تعريف SSH. لذلك لا تفحص هذه الأداة أي شيء. شغّلها على مضيف Windows نفسه (--local يقرأ إدخالات إلغاء التثبيت في Programs and Features عبر winreg)، أو زوّدها بإصدار من WS_FTP Manager، About، أو Programs and Features (--version)، أو بقائمة إلغاء تثبيت مُصدَّرة (--registry-json).

ترقيم الإصدارات، كلا الصيغتين مقبولتان

تبيع Progress الإصدارات نفسها بترقيمين: 2024.0 هي 9.0 و2025.0 هي 10.0. لذا 9.0.6 تعني 2024.0.6 و10.0.4 تعني 2025.0.4، وتصنّفها هذه الأداة بالتساوي. الإصدارات الأقدم من 2024.0 (9.0)، بما في ذلك 2022.0 (8.8.x)، ليس لها بناء مُصحَّح في فرعها: تُصنَّف VULNERABLE للمجموعتين، والحل هو ترقية الفرع إلى 2024.0.7 أو 2025.0.4، وليس ترقيعًا في الموقع.

ما الذي تفحصه

• إصدار تزوّدها به (--version 2024.0.6)، يُصنَّف لكل مجموعة وفق جدول التصحيحات المنقسم
• مضيف Windows هذا (--local): إدخال إلغاء تثبيت WS_FTP Server، مطابق بالاسم حتى لا يُصنَّف تثبيت عميل WS_FTP Pro على أنه الخادم
• جرد دون اتصال (--registry-json entries.json): قائمة JSON من إدخالات {DisplayName, DisplayVersion}، للأساطيل التي تصدّر Programs and Features مركزيًا
• الجدول الكامل (--list): جميع الثغرات 15 مع مجموعتها وبناء التصحيح الخاص بها

الاستخدام

# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6

# fully patched build
python3 wsftp_scanner.py --version 2025.0.4

# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6

# on the Windows host itself
python3 wsftp_scanner.py --local

# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json

# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json

# the full 15-CVE table
python3 wsftp_scanner.py --list

رموز الخروج: 0 = لم يُعثر على أي شيء قابل للاستغلال، 2 = نتيجة قابلة للاستغلال، 1 = خطأ في الفحص. لا يغيّر UNKNOWN رمز الخروج، لكنه ليس نظيفًا: أي فرع خارج 2024.0 / 2025.0 (بخلاف إصدار سابق لـ 2024.0) يُصنَّف UNKNOWN لأنه لا يوجد بناء مُصلَح له في جدول هذه الأداة.

حيث تختلف المصادر، وما لا يزال غير مُتحقَّق منه

أمرٌ أولًا: مقالة المعرفة الأساسية من Progress لهذه الدفعة تقع خلف تسجيل دخول Progress ID، لذا تعذّر فتحها مباشرةً لهذا البناء. جدول الإصلاح المُقسَّم أعلاه مدعوم عبر سجلات CVE مستقلة (سجلات مشروع CVE عبر cvefeed، ومدخلات SecurityFocus، وكتابة الدفعة)، وكلها تستشهد بالنشرة الإرشادية نفسها من Progress، وتقسيم المجموعات (3 + 12 = 15) متسق فيما بينها. إذا كانت لديك بيانات دخول إلى Progress، فتحقّق من المقالة مقابل هذا الجدول وافتح issue إذا اختلف أي شيء.

ثانيًا، لا تُطبَع الدرجات الفردية إلا حيث تم التحقق من سجل CVE: 84295 عند 10.0، و90868 عند 9.9، و90864 / 90863 / 90866 عند 9.1، و90865 عند 9.0، و90867 عند 8.1، و84294 عند 7.7، و90869 عند 7.5، و90872 عند 6.6، و90871 عند 5.3. لم يتم تأكيد درجات 84296 و90861 و90862 و90870 بشكل فردي في المصادر التي تم التحقق منها، لذا تُدرجها الأداة حسب المجموعة دون تأكيد درجة. وهذا لا يغيّر شيئًا بشأن التصنيف: عضوية المجموعة، وليس الدرجة الفردية، هي التي تحدد البناء المُصلَح.

التخفيف إذا لم تتمكن من الترقيع اليوم

الترقية هي الحل؛ لا يوجد ترقيع قائم للفروع السابقة لـ 2024.0 ولا ترقيع جزئي يُغلق المجموعة B. إلى أن تتمكن من الترقية، قيّد وحدات التحكم الإدارية على الويب خلف الشبكات الداخلية فقط، وتعامل مع أي WS_FTP Server مكشوف على الإنترنت بإصدار أدنى من 2024.0.7 / 2025.0.4 على أنه معرّض لثغرة بيانات اعتماد دون مصادقة. بدّل بيانات الاعتماد الإدارية على أي مضيف كان مكشوفًا على الإنترنت أثناء عدم ترقيعه: فالثغرة الرئيسية تكشفها، والترقيع لا يلغي كشفها.

الاختبارات

python3 -m unittest discover -s tests -v

17 اختبارًا: تحليل الإصدار في كلا الترقيمين، والفخ في كلا الفرعين، والبنيات المُرَقَّعة بالكامل، وتكافؤ 9.0 / 10.0 القديم، وتقييم ما قبل 2024.0 بدون إصلاح، وUNKNOWN للفرع غير المُدرَج، ومطابقة إدخال السجل، ورموز خروج CLI بالإضافة إلى عدد قائمة 15 من CVE.

شكرًا إلى

• Progress Software، على دفعة التصحيحات وجدول الإصلاحات المنفصل الذي يقيّم هذا الأداة بناءً عليه
• مشروع CVE وسجلات CNA، على الأوصاف والدرجات الخاصة بكل CVE
• SecurityOnline وSecurityFocus وcvefeed، التي أكّدت سجلاتها الجدول بينما ظل المقال الأساسي محجوبًا خلف تسجيل الدخول

إخلاء المسؤولية

للفرز الدفاعي فقط. تتحقق هذه الأداة من سلاسل الإصدارات وتُبلّغ عمّا إذا كان التثبيت أدنى من بنية مُصلَحة. لا تُرسل أي حركة مرور، ولا تفحص أي خادم، وليست بديلًا عن استشارة المورّد. استخدمها على الأنظمة التي تملكها أو المصرّح لك بتدقيقها.

بحث بواسطة Vineeth Kumar (foxcornlab). إذا وجدت خطأً أو أردت ميزة، افتح issue.