Escáner de triaje local solo de detección para el lote de parches de octubre de 2026 de Progress WS_FTP Server: CVE-2026-84295 (CVSS 10.0) y 14 más, calificados por grupo según la tabla de correcciones dividida entre 2024.0.6/2025.0.3 y 2024.0.7/2025.0.4. Sin payloads, sin sondeo remoto.
wsftp-server-scannerTriaje local para el lote de parches de Progress WS_FTP Server del 29 de octubre de 2026: 15 vulnerabilidades, una de ellas de 10.0. Se le da una versión que usted posee, le indica si esa instalación sigue abierta y detecta la trampa que hace que la primera compilación parcheada mienta. Nunca toca la red, nunca sondea un servidor, nunca envía una carga útil.
El loteDetalle | Valor |
|---|---|
Titular | CVE-2026-84295, autenticación incorrecta, 10.0 crítica: un atacante remoto no autenticado puede acceder a información sensible, incluidos credenciales administrativas |
Siguiente peor | CVE-2026-90868, inyección de comandos del SO, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 con 9.1; CVE-2026-90865, inyección de comandos del SO, 9.0 |
Total | 15 CVE: 6 críticas, 3 altas, 6 medias, según el informe del lote |
Explotación | Ninguna confirmada, no se ha reportado prueba de concepto pública, a fecha de 31 de octubre de 2026. Eso es una afirmación sobre lo que se ha reportado, no una razón para esperar: una falla de credenciales no autenticada de 10.0 en una puerta de enlace de transferencia de archivos no necesita una mecha larga |
Producto | Progress WS_FTP Server solo en Windows |
La trampa: dos compilaciones corregidas, no unaGrupo | CVE | Corregido en |
|---|---|---|
A | CVE-2026-84294, CVE-2026-84295, CVE-2026-84296 | 2024.0.6 / 2025.0.3 |
B | CVE-2026-90861 hasta CVE-2026-90872 (12 CVE) | 2024.0.7 / 2025.0.4 |
Un host en 2024.0.6 o 2025.0.3 ha cerrado la falla de 10.0 y sigue abierto a la falla de inyección de comandos de 9.9. Parchear a la primera compilación parcheada se siente como terminar y no lo es. Esta herramienta califica los dos grupos por separado e imprime TRAP exactamente para ese caso. Las únicas compilaciones totalmente parcheadas en la tabla son 2024.0.7 y 2025.0.4 (y compilaciones posteriores en esas ramas).
Por qué local, no remotoWS_FTP Server se ejecuta en Windows, y la identificación remota de versiones no es fiable aquí: el banner de inicio de sesión puede ocultarse y la identificación SSH puede suprimirse. Por eso esta herramienta no sondea nada. Ejecútela en el propio host Windows (--local lee las entradas de desinstalación de Programas y características mediante winreg), o pásele una versión desde WS_FTP Manager, Acerca de, o Programas y características (--version), o una lista de desinstalación exportada (--registry-json).
Numeración de versiones, ambas formas aceptadasProgress vende las mismas versiones bajo dos numeraciones: 2024.0 es 9.0 y 2025.0 es 10.0. Así que 9.0.6 significa 2024.0.6 y 10.0.4 significa 2025.0.4, y esta herramienta las califica igual. Las versiones anteriores a 2024.0 (9.0), incluida 2022.0 (8.8.x), no tienen compilación parcheada en su rama: se califican como VULNERABLE para ambos grupos, y la solución es una actualización de rama a 2024.0.7 o 2025.0.4, no un parche in situ.
Qué compruebaUna versión que usted proporcione (--version 2024.0.6), calificada por grupo contra la tabla de correcciones divididaEste host Windows (--local): la entrada de desinstalación de WS_FTP Server, emparejada por nombre para que una instalación del cliente WS_FTP Pro no se califique como el servidorUn inventario sin conexión (--registry-json entries.json): una lista JSON de entradas {DisplayName, DisplayVersion}, para flotas que exportan Programas y características de forma centralizadaLa tabla completa (--list): las 15 CVE con su grupo y compilación corregidaUso# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6
# fully patched build
python3 wsftp_scanner.py --version 2025.0.4
# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6
# on the Windows host itself
python3 wsftp_scanner.py --local
# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json
# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json
# the full 15-CVE table
python3 wsftp_scanner.py --list
Códigos de salida: 0 = no se encontró nada vulnerable, 2 = hallazgo vulnerable, 1 = error de escaneo. UNKNOWN no cambia el código de salida, pero no está limpio: una rama fuera de 2024.0 / 2025.0 (que no sea una versión anterior a 2024.0) se califica como UNKNOWN porque no hay una compilación corregida para ella en la tabla de esta herramienta.
Donde las fuentes discrepan, y qué sigue sin verificarsePrimero, una cosa: el artículo de conocimiento principal de Progress para este lote está detrás de un inicio de sesión con Progress ID, por lo que no se pudo abrir directamente para esta compilación. La tabla de correcciones dividida anterior está corroborada por registros CVE independientes (registros del proyecto CVE vía cvefeed, entradas de SecurityFocus y el informe del lote), todos citando el mismo aviso de Progress, y la división por grupos (3 + 12 = 15) es consistente entre ellos. Si tienes una cuenta de Progress, confirma el artículo contra esta tabla y abre un issue si algo difiere.
Segundo, las puntuaciones individuales solo se imprimen cuando se verificó un registro CVE: 84295 con 10.0, 90868 con 9.9, 90864 / 90863 / 90866 con 9.1, 90865 con 9.0, 90867 con 8.1, 84294 con 7.7, 90869 con 7.5, 90872 con 6.6, 90871 con 5.3. Las puntuaciones de 84296, 90861, 90862 y 90870 no se confirmaron individualmente en las fuentes consultadas, por lo que la herramienta los lista por grupo sin afirmar una puntuación. Eso no cambia nada respecto a la calificación: la pertenencia al grupo, no la puntuación individual, decide la compilación corregida.
Mitigación si no puedes aplicar el parche hoyLa actualización es la solución; no hay parche disponible para las ramas anteriores a 2024.0 ni un parche parcial que cierre el grupo B. Hasta que puedas actualizar, restringe las consolas web administrativas únicamente a redes internas, y trata cualquier WS_FTP Server expuesto a internet por debajo de 2024.0.7 / 2025.0.4 como expuesto a una vulnerabilidad de credenciales sin autenticación. Rota las credenciales administrativas en cualquier host que haya estado expuesto a internet mientras no tenía el parche: la vulnerabilidad principal las expone, y un parche no revierte esa exposición.
Testspython3 -m unittest discover -s tests -v
17 pruebas: análisis de versiones en ambas numeraciones, la trampa en ambas ramas, compilaciones totalmente parcheadas, equivalencia heredada 9.0 / 10.0, clasificación sin corrección previa a 2024.0, rama no listada UNKNOWN, coincidencia de entradas del registro y códigos de salida de CLI más el recuento de la lista de 15 CVE.
Gracias aProgress Software, por el lote de parches y la tabla de correcciones dividida contra la que esta herramienta evalúaCVE y los registros CNA, por las descripciones y puntuaciones por CVESecurityOnline, SecurityFocus y cvefeed, cuyos registros corroboraron la tabla mientras el artículo principal permanecía tras un muro de inicio de sesiónDescargo de responsabilidadSolo para triaje defensivo. Esta herramienta comprueba cadenas de versión e informa si una instalación está por debajo de una compilación corregida. No envía tráfico, no sondea ningún servidor y no sustituye al aviso del proveedor. Úsela en sistemas que posea o esté autorizado a auditar.
Investigación de
Vineeth Kumar(foxcornlab). Si encontró un error o desea una funcionalidad, abra unissue.