wsftp-server-scanner

Triage locale per il pacchetto di patch di Progress WS_FTP Server del 29 ottobre 2026: 15 vulnerabilità, una delle quali è un 10.0. Fornisci una versione che possiedi, e ti dice se quell'installazione è ancora esposta, e intercetta la trappola che fa mentire la prima build corretta. Non tocca mai la rete, non sonda mai un server, non invia mai un payload.

Il pacchetto

Dettaglio	Valore
Titolo principale	CVE-2026-84295, autenticazione impropria, 10.0 critico: un attaccante remoto non autenticato può accedere a informazioni sensibili, incluse le credenziali amministrative
Il successivo più grave	CVE-2026-90868, iniezione di comandi OS, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 a 9.1; CVE-2026-90865, iniezione di comandi OS, 9.0
Totale	15 CVE: 6 critiche, 3 alte, 6 medie, secondo il resoconto del pacchetto
Sfruttamento	Nessuno confermato, nessuna proof of concept pubblica segnalata, al 31 ottobre 2026. Questa è un'affermazione su ciò che è stato segnalato, non un motivo per aspettare: una falla 10.0 di autenticazione non autenticata in un gateway di trasferimento file non ha bisogno di una lunga miccia
Prodotto	Progress WS_FTP Server solo su Windows

La trappola: due build corrette, non una

Gruppo	CVE	Corretta in
A	CVE-2026-84294, CVE-2026-84295, CVE-2026-84296	2024.0.6 / 2025.0.3
B	CVE-2026-90861 fino a CVE-2026-90872 (12 CVE)	2024.0.7 / 2025.0.4

Un host su 2024.0.6 o 2025.0.3 ha chiuso la falla 10.0 ed è ancora esposto alla falla di iniezione di comandi 9.9. Applicare la patch alla prima build corretta sembra aver concluso il lavoro e invece non è così. Questo strumento valuta i due gruppi separatamente e stampa TRAP esattamente per quel caso. Le uniche build completamente corrette nella tabella sono 2024.0.7 e 2025.0.4 (e le build successive in quei rami).

Perché locale, non remoto

WS_FTP Server gira su Windows, e il fingerprinting remoto della versione qui non è affidabile: il banner di login può essere nascosto e l'identificazione SSH può essere soppressa. Quindi questo strumento non sonda nulla. Eseguilo direttamente sull'host Windows (--local legge le voci di disinstallazione di Programmi e funzionalità tramite winreg), oppure fornisci una versione da WS_FTP Manager, Informazioni su, o Programmi e funzionalità (--version), oppure un elenco di disinstallazione esportato (--registry-json).

Numerazione delle versioni, entrambe le forme accettate

Progress vende le stesse release con due numerazioni: 2024.0 è 9.0 e 2025.0 è 10.0. Quindi 9.0.6 significa 2024.0.6 e 10.0.4 significa 2025.0.4, e questo strumento le valuta allo stesso modo. Le release precedenti a 2024.0 (9.0), inclusa 2022.0 (8.8.x), non hanno una build corretta nel loro ramo: vengono valutate VULNERABLE per entrambi i gruppi, e la correzione è un aggiornamento del ramo a 2024.0.7 o 2025.0.4, non una patch sul posto.

Cosa verifica

• Una versione fornita (--version 2024.0.6), valutata per gruppo rispetto alla tabella delle correzioni suddivisa
• Questo host Windows (--local): la voce di disinstallazione di WS_FTP Server, abbinata per nome in modo che un'installazione client di WS_FTP Pro non venga valutata come il server
• Un inventario offline (--registry-json entries.json): un elenco JSON di voci {DisplayName, DisplayVersion}, per flotte che esportano Programmi e funzionalità centralmente
• La tabella completa (--list): tutte le 15 CVE con il loro gruppo e la build corretta

Utilizzo

# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6

# fully patched build
python3 wsftp_scanner.py --version 2025.0.4

# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6

# on the Windows host itself
python3 wsftp_scanner.py --local

# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json

# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json

# the full 15-CVE table
python3 wsftp_scanner.py --list

Codici di uscita: 0 = nessuna vulnerabilità trovata, 2 = vulnerabilità trovata, 1 = errore di scansione. UNKNOWN non modifica il codice di uscita, ma non equivale a "pulito": un ramo al di fuori di 2024.0 / 2025.0 (diverso da una release precedente alla 2024.0) viene classificato UNKNOWN perché nella tabella di questo strumento non esiste una build corretta per esso.

Dove le fonti sono in disaccordo, e cosa resta non verificato

Una cosa innanzitutto: l'articolo della knowledge base principale di Progress per questo batch è protetto da un accesso con Progress ID, quindi non è stato possibile aprirlo direttamente per questa build. La tabella delle correzioni suddivisa sopra è corroborata da record CVE indipendenti (record di progetto CVE tramite cvefeed, voci SecurityFocus e il write-up del batch), tutti che citano lo stesso avviso di Progress, e la suddivisione in gruppi (3 + 12 = 15) è coerente tra di essi. Se disponi di un login Progress, verifica l'articolo rispetto a questa tabella e apri una issue se qualcosa differisce.

In secondo luogo, i punteggi individuali vengono stampati solo dove è stato controllato un record CVE: 84295 a 10.0, 90868 a 9.9, 90864 / 90863 / 90866 a 9.1, 90865 a 9.0, 90867 a 8.1, 84294 a 7.7, 90869 a 7.5, 90872 a 6.6, 90871 a 5.3. I punteggi per 84296, 90861, 90862 e 90870 non sono stati confermati individualmente nelle fonti controllate, quindi lo strumento li elenca per gruppo senza dichiarare un punteggio. Ciò non cambia nulla riguardo alla classificazione: è l'appartenenza al gruppo, non il punteggio individuale, a determinare la build corretta.

Mitigazione se non puoi applicare la patch oggi

L'aggiornamento è la soluzione; non esiste una patch per i rami precedenti alla 2024.0 né una patch parziale che chiuda il gruppo B. Finché non puoi aggiornare, limita le console web amministrative alle sole reti interne e considera qualsiasi WS_FTP Server esposto su Internet al di sotto di 2024.0.7 / 2025.0.4 come esposto a una vulnerabilità di credenziali non autenticate. Ruota le credenziali amministrative su qualsiasi host che sia stato esposto su Internet mentre era non aggiornato: la vulnerabilità principale le espone, e una patch non le rende più non esposte.

Test

python3 -m unittest discover -s tests -v

17 test: parsing delle versioni in entrambe le numerazioni, la trappola in entrambi i rami, build completamente corrette, equivalenza legacy 9.0 / 10.0, valutazione senza correzione pre-2024.0, UNKNOWN per ramo non elencato, corrispondenza delle voci del registro e codici di uscita CLI più il conteggio della lista di 15 CVE.

Ringraziamenti

• Progress Software, per il pacchetto di patch e la tabella delle correzioni separate su cui questo strumento basa la valutazione
• Il progetto CVE e i record CNA, per le descrizioni e i punteggi per singola CVE
• SecurityOnline, SecurityFocus e cvefeed, i cui record hanno corroborato la tabella mentre l'articolo principale restava protetto da login

Disclaimer

Solo triage difensivo. Questo strumento controlla le stringhe di versione e segnala se un'installazione è precedente a una build corretta. Non invia traffico, non sonda alcun server e non sostituisce l'avviso del fornitore. Usalo su sistemi di tua proprietà o che sei autorizzato a verificare.

Ricerca di Vineeth Kumar (foxcornlab). Se hai trovato un bug o desideri una funzionalità, apri una issue.