Scanner de triage local en détection seule pour la vague de correctifs d'octobre 2026 de Progress WS_FTP Server : CVE-2026-84295 (CVSS 10.0) et 14 autres, évalués par groupe selon le tableau de correctifs scindé 2024.0.6/2025.0.3 vs 2024.0.7/2025.0.4. Aucune charge utile, aucune sonde distante.
wsftp-server-scannerTriage local pour la vague de correctifs Progress WS_FTP Server du 29 octobre 2026 : 15 vulnérabilités, dont une de gravité 10.0. Fournissez-lui une version que vous possédez, il vous indique si cette installation est toujours exposée, et il détecte le piège qui fait mentir la première build corrigée. Il ne touche jamais au réseau, ne sonde jamais un serveur, n'envoie jamais de charge utile.
La vagueDétail | Valeur |
|---|---|
Titre principal | CVE-2026-84295, authentification incorrecte, 10.0 critique : un attaquant distant non authentifié peut accéder à des informations sensibles, y compris des identifiants administratifs |
Suivante la plus grave | CVE-2026-90868, injection de commande OS, 9.9 ; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 à 9.1 ; CVE-2026-90865, injection de commande OS, 9.0 |
Total | 15 CVE : 6 critiques, 3 élevées, 6 moyennes, selon l'analyse de la vague |
Exploitation | Aucune confirmée, aucune preuve de concept publique signalée, au 31 octobre 2026. C'est une affirmation sur ce qui a été signalé, pas une raison d'attendre : une faille d'identifiants non authentifiée de gravité 10.0 dans une passerelle de transfert de fichiers n'a pas besoin d'une longue mèche |
Produit | Progress WS_FTP Server sous Windows uniquement |
Le piège : deux builds corrigées, pas uneGroupe | CVE | Corrigé dans |
|---|---|---|
A | CVE-2026-84294, CVE-2026-84295, CVE-2026-84296 | 2024.0.6 / 2025.0.3 |
B | CVE-2026-90861 à CVE-2026-90872 (12 CVE) | 2024.0.7 / 2025.0.4 |
Un hôte en 2024.0.6 ou 2025.0.3 a colmaté la faille 10.0 et reste exposé à la faille d'injection de commande 9.9. Appliquer le correctif jusqu'à la première build corrigée donne l'impression que c'est terminé, et ce n'est pas terminé. Cet outil évalue les deux groupes séparément et affiche TRAP précisément pour ce cas. Les seules builds entièrement corrigées du tableau sont 2024.0.7 et 2025.0.4 (et les builds ultérieures de ces branches).
Pourquoi en local, pas à distanceWS_FTP Server s'exécute sous Windows, et l'empreinte de version à distance n'est pas fiable ici : la bannière de connexion peut être masquée et l'identification SSH peut être supprimée. Cet outil ne sonde donc rien. Exécutez-le sur l'hôte Windows lui-même (--local lit les entrées de désinstallation de Programs and Features via winreg), ou fournissez-lui une version issue de WS_FTP Manager, About, ou Programs and Features (--version), ou une liste de désinstallation exportée (--registry-json).
Numérotation des versions, les deux formes acceptéesProgress commercialise les mêmes versions sous deux numérotations : 2024.0 correspond à 9.0 et 2025.0 correspond à 10.0. Ainsi 9.0.6 signifie 2024.0.6 et 10.0.4 signifie 2025.0.4, et cet outil les évalue de la même manière. Les versions antérieures à 2024.0 (9.0), y compris 2022.0 (8.8.x), n'ont aucune build corrigée dans leur branche : elles sont évaluées VULNERABLE pour les deux groupes, et le correctif consiste en une mise à niveau de branche vers 2024.0.7 ou 2025.0.4, et non en un correctif sur place.
Ce qu'il vérifieUne version que vous fournissez (--version 2024.0.6), évaluée par groupe selon le tableau de correctifs scindéCet hôte Windows (--local) : l'entrée de désinstallation de WS_FTP Server, mise en correspondance par nom afin qu'une installation du client WS_FTP Pro ne soit pas évaluée comme le serveurUn inventaire hors ligne (--registry-json entries.json) : une liste JSON d'entrées {DisplayName, DisplayVersion}, pour les parcs qui exportent Programs and Features de manière centraliséeLe tableau complet (--list) : les 15 CVE avec leur groupe et leur build corrigéeUtilisation# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6
# fully patched build
python3 wsftp_scanner.py --version 2025.0.4
# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6
# on the Windows host itself
python3 wsftp_scanner.py --local
# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json
# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json
# the full 15-CVE table
python3 wsftp_scanner.py --list
Codes de sortie : 0 = rien de vulnérable trouvé, 2 = constat de vulnérabilité, 1 = erreur de scan. UNKNOWN ne modifie pas le code de sortie, mais ce n'est pas propre : une branche hors de 2024.0 / 2025.0 (autre qu'une version antérieure à 2024.0) est classée UNKNOWN car aucun build corrigé pour celle-ci ne figure dans la table de cet outil.
Là où les sources divergent, et ce qui reste non vérifiéUn point d'abord : l'article de base de connaissances Progress principal pour ce lot se trouve derrière une authentification Progress ID, il n'a donc pas pu être ouvert directement pour ce build. La table de correctifs scindée ci-dessus est corroborée par des enregistrements CVE indépendants (enregistrements de projet CVE via cvefeed, entrées SecurityFocus, et le compte rendu du lot), tous citant le même avis Progress, et la répartition des groupes (3 + 12 = 15) est cohérente entre eux. Si vous disposez d'un identifiant Progress, confirmez l'article par rapport à cette table et ouvrez une issue si quelque chose diffère.
Ensuite, les scores individuels ne sont imprimés que là où un enregistrement CVE a été vérifié : 84295 à 10.0, 90868 à 9.9, 90864 / 90863 / 90866 à 9.1, 90865 à 9.0, 90867 à 8.1, 84294 à 7.7, 90869 à 7.5, 90872 à 6.6, 90871 à 5.3. Les scores de 84296, 90861, 90862 et 90870 n'ont pas été confirmés individuellement dans les sources vérifiées, l'outil les liste donc par groupe sans affirmer de score. Cela ne change rien à la classification : c'est l'appartenance au groupe, et non le score individuel, qui détermine le build corrigé.
Atténuation si vous ne pouvez pas corriger aujourd'huiLa mise à niveau est le correctif ; il n'existe pas de correctif en place pour les branches antérieures à 2024.0 ni de correctif partiel qui ferme le groupe B. Jusqu'à ce que vous puissiez effectuer la mise à niveau, restreignez les consoles web d'administration aux réseaux internes uniquement, et considérez tout WS_FTP Server exposé à Internet en dessous de 2024.0.7 / 2025.0.4 comme exposé à une faille d'identifiants non authentifiée. Renouvelez les identifiants d'administration sur tout hôte qui était exposé à Internet pendant qu'il n'était pas corrigé : la faille principale les expose, et un correctif ne les rend pas non exposés.
Testspython3 -m unittest discover -s tests -v
17 tests : l'analyse de version dans les deux numérotations, le piège dans les deux branches, les builds entièrement corrigés, l'équivalence héritée 9.0 / 10.0, la notation sans correctif antérieure à 2024.0, la branche non listée UNKNOWN, la correspondance des entrées du registre, et les codes de sortie de la CLI ainsi que le décompte de la liste des 15 CVE.
Merci àProgress Software, pour la série de correctifs et le tableau de correctifs scindé sur lequel cet outil s'appuie pour évaluerCVE et les enregistrements CNA, pour les descriptions et scores par CVESecurityOnline, SecurityFocus et cvefeed, dont les enregistrements ont corroboré le tableau alors que l'article principal restait protégé par une authentificationAvertissement