wsftp-server-scanner

2026年10月29日のProgress WS_FTP Serverパッチバッチに対するローカルトリアージ: 15件の脆弱性、そのうち1件は10.0。所有しているバージョンを渡せば、そのインストールがまだ未修正かどうかを判定し、最初の修正ビルドを欺く罠を検出します。ネットワークには一切触れず、サーバーをプローブせず、ペイロードも送信しません。

バッチ

詳細	値
見出し	CVE-2026-84295、不適切な認証、10.0クリティカル: 未認証のリモート攻撃者が管理資格情報を含む機密情報にアクセス可能
次に深刻なもの	CVE-2026-90868、OSコマンドインジェクション、9.9; CVE-2026-90864、CVE-2026-90863、CVE-2026-90866が9.1; CVE-2026-90865、OSコマンドインジェクション、9.0
合計	15件のCVE: 6件クリティカル、3件高、6件中、バッチの解説記事による
悪用状況	2026年10月31日時点で確認された悪用なし、公開された概念実証の報告なし。これは報告された内容についての記述であり、待つ理由ではない: ファイル転送ゲートウェイにおける10.0の未認証資格情報欠陥に長い導火線は不要
製品	Progress WS_FTP Server、Windowsのみ

罠: 修正ビルドは2つ、1つではない

グループ	CVE	修正済み
A	CVE-2026-84294、CVE-2026-84295、CVE-2026-84296	2024.0.6 / 2025.0.3
B	CVE-2026-90861からCVE-2026-90872まで（12件のCVE）	2024.0.7 / 2025.0.4

2024.0.6または2025.0.3のホストは10.0の欠陥を解消済みだが、9.9のコマンドインジェクション欠陥には依然として未修正のままです。最初の修正ビルドへのパッチ適用は完了したように感じられるが、完了していません。このツールは2つのグループを別々に評価し、まさにそのケースに対してTRAPを出力します。表の中で完全に修正済みのビルドは2024.0.7と2025.0.4（およびそれらのブランチの以降のビルド）のみです。

なぜリモートではなくローカルか

WS_FTP ServerはWindows上で動作し、リモートでのバージョンフィンガープリンティングはここでは信頼できません: ログインバナーは隠蔽でき、SSHの識別情報も抑制できます。そのためこのツールは何もプローブしません。Windowsホスト自体で実行するか（--localはwinreg経由でPrograms and Featuresのアンインストールエントリを読み取ります）、WS_FTP ManagerのAboutやPrograms and Featuresから得たバージョンを渡すか（--version）、エクスポートしたアンインストール一覧を渡します（--registry-json）。

バージョン番号、両形式を受け付け

Progressは同じリリースを2つの番号体系で販売しています: 2024.0は9.0、2025.0は10.0です。したがって9.0.6は2024.0.6を意味し、10.0.4は2025.0.4を意味し、このツールはそれらを同じように評価します。2024.0（9.0）より古いリリース、2022.0（8.8.x）を含むものは、そのブランチに修正ビルドがありません: 両グループともVULNERABLEと評価され、修正はその場でのパッチ適用ではなく、2024.0.7または2025.0.4へのブランチアップグレードです。

チェック内容

• 指定したバージョン（--version 2024.0.6）、分割修正表に対してグループごとに評価
• このWindowsホスト（--local）: WS_FTP Serverのアンインストールエントリを名前で照合するため、WS_FTP Proクライアントのインストールがサーバーとして評価されることはない
• オフラインインベントリ（--registry-json entries.json）: {DisplayName, DisplayVersion}エントリのJSONリスト、Programs and Featuresを中央でエクスポートするフリート向け
• 完全な表（--list）: 全15件のCVEとそのグループおよび修正ビルド

使用方法

# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6

# fully patched build
python3 wsftp_scanner.py --version 2025.0.4

# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6

# on the Windows host itself
python3 wsftp_scanner.py --local

# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json

# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json

# the full 15-CVE table
python3 wsftp_scanner.py --list

終了コード: 0 = 脆弱なものは見つからなかった、2 = 脆弱な所見あり、1 = スキャンエラー。UNKNOWN は終了コードを変えないが、クリーンではない。2024.0 / 2025.0 の外側にあるブランチ（2024.0 より前のリリースを除く）は、このツールのテーブルにそのブランチ向けの修正済みビルドが存在しないため UNKNOWN と判定される。

情報源が食い違う箇所、および未検証のままの点

まず一点目。このバッチに関する Progress の主要なナレッジ記事は Progress ID でのサインインが必要なため、今回のビルドでは直接開くことができなかった。上記の分割修正テーブルは、独立した複数の CVE レコード（cvefeed 経由の CVE プロジェクトレコード、SecurityFocus のエントリ、およびバッチの解説記事）で裏付けられており、いずれも同じ Progress アドバイザリを引用しており、グループ分割（3 + 12 = 15）もそれら全体で一致している。Progress のログインをお持ちの場合は、このテーブルと記事を照合し、相違があれば issue を開いてほしい。

二点目。個別のスコアは、CVE レコードを確認したものについてのみ表示している: 84295 は 10.0、90868 は 9.9、90864 / 90863 / 90866 は 9.1、90865 は 9.0、90867 は 8.1、84294 は 7.7、90869 は 7.5、90872 は 6.6、90871 は 5.3。84296、90861、90862、90870 のスコアは、確認した情報源では個別に裏付けられなかったため、ツールはスコアを断定せずグループ単位でこれらを列挙している。これは判定には影響しない。修正済みビルドを決めるのは個別スコアではなくグループの所属だからである。

今日パッチを適用できない場合の緩和策

修正はアップグレードである。2024.0 より前のブランチ向けのパッチは存在せず、グループ B を塞ぐ部分的なパッチも存在しない。アップグレードできるまでの間は、管理用 Web コンソールを内部ネットワークのみに制限し、2024.0.7 / 2025.0.4 未満のインターネットに公開された WS_FTP Server は、未認証の認証情報に関する脆弱性に晒されているものとして扱ってほしい。未パッチのままインターネットに公開されていたホストでは、管理用認証情報をローテーションすること。主要な脆弱性はそれらの認証情報を露出させるものであり、パッチを適用しても露出がなかったことにはならない。

テスト

python3 -m unittest discover -s tests -v

17 件のテスト: 両方の番号付けにおけるバージョン解析、両方の分岐におけるトラップ、完全にパッチ適用済みのビルド、レガシーな 9.0 / 10.0 の等価性、2024.0 より前の修正なしのグレーディング、未掲載の分岐の UNKNOWN、レジストリエントリのマッチング、そして CLI の終了コードと 15 件の CVE リストの件数。

Thanks to

• Progress Software、このツールが照合するパッチバッチと分割修正テーブルについて
• CVE プロジェクトと CNA の記録、各 CVE の説明とスコアについて
• SecurityOnline、SecurityFocus、cvefeed、これらの記録は一次記事がログイン制限されていた間、テーブルを裏付けた

Disclaimer

防御的なトリアージ専用。このツールはバージョン文字列をチェックし、インストールが修正済みビルドより下かどうかを報告する。トラフィックを送信せず、サーバーをプローブせず、ベンダーのアドバイザリの代替にはならない。所有している、または監査を許可されたシステムで使用すること。

Vineeth Kumar (foxcornlab) による調査。バグを見つけた場合や機能を希望する場合は、issue を開いてください。