Scanner local de triagem somente detecção para o lote de patches do Progress WS_FTP Server de outubro de 2026: CVE-2026-84295 (CVSS 10.0) e mais 14, classificado por grupo em relação à tabela de correções dividida entre 2024.0.6/2025.0.3 e 2024.0.7/2025.0.4. Sem payloads, sem sondagem remota.
wsftp-server-scannerTriagem local para o lote de patches do Progress WS_FTP Server de 29 de outubro de 2026: 15 vulnerabilidades, uma delas com pontuação 10.0. Informe uma versão que você possui e ele dirá se essa instalação ainda está exposta, além de detectar a armadilha que faz a primeira build corrigida enganar. Ele nunca acessa a rede, nunca sonda um servidor, nunca envia um payload.
O loteDetalhe | Valor |
|---|---|
Destaque | CVE-2026-84295, autenticação inadequada, 10.0 crítico: um atacante remoto não autenticado pode acessar informações sensíveis, incluindo credenciais administrativas |
Próximo pior | CVE-2026-90868, injeção de comando do SO, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 com 9.1; CVE-2026-90865, injeção de comando do SO, 9.0 |
Total | 15 CVEs: 6 críticas, 3 altas, 6 médias, conforme o relatório do lote |
Exploração | Nenhuma confirmada, nenhuma prova de conceito pública relatada, até 31 de outubro de 2026. Isso é uma afirmação sobre o que foi relatado, não um motivo para esperar: uma falha de credenciais não autenticada de 10.0 em um gateway de transferência de arquivos não precisa de um pavio longo |
Produto | Progress WS_FTP Server apenas em Windows |
A armadilha: duas builds corrigidas, não umaGrupo | CVEs | Corrigido em |
|---|---|---|
A | CVE-2026-84294, CVE-2026-84295, CVE-2026-84296 | 2024.0.6 / 2025.0.3 |
B | CVE-2026-90861 até CVE-2026-90872 (12 CVEs) | 2024.0.7 / 2025.0.4 |
Um host em 2024.0.6 ou 2025.0.3 fechou a falha de 10.0 e ainda está exposto à falha de injeção de comando de 9.9. Aplicar o patch até a primeira build corrigida parece concluído e não está. Esta ferramenta classifica os dois grupos separadamente e imprime TRAP exatamente para esse caso. As únicas builds totalmente corrigidas na tabela são 2024.0.7 e 2025.0.4 (e builds posteriores nessas ramificações).
Por que local, e não remotoO WS_FTP Server roda em Windows, e a identificação remota de versão é pouco confiável aqui: o banner de login pode ser ocultado e a identificação SSH pode ser suprimida. Por isso esta ferramenta não sonda nada. Execute-a no próprio host Windows (--local lê as entradas de desinstalação de Programs and Features via winreg), ou forneça uma versão do WS_FTP Manager, About, ou Programs and Features (--version), ou uma lista de desinstalação exportada (--registry-json).
Numeração de versões, ambas as formas aceitasA Progress vende os mesmos lançamentos sob duas numerações: 2024.0 é 9.0 e 2025.0 é 10.0. Assim, 9.0.6 significa 2024.0.6 e 10.0.4 significa 2025.0.4, e esta ferramenta as classifica da mesma forma. Lançamentos anteriores a 2024.0 (9.0), incluindo 2022.0 (8.8.x), não têm build corrigida em sua ramificação: eles são classificados como VULNERABLE para ambos os grupos, e a correção é uma atualização de ramificação para 2024.0.7 ou 2025.0.4, não um patch no local.
O que ele verificaUma versão fornecida por você (--version 2024.0.6), classificada por grupo conforme a tabela de correções divididaEste host Windows (--local): a entrada de desinstalação do WS_FTP Server, correspondida pelo nome para que uma instalação do cliente WS_FTP Pro não seja classificada como o servidorUm inventário offline (--registry-json entries.json): uma lista JSON de entradas {DisplayName, DisplayVersion}, para frotas que exportam Programs and Features centralmenteA tabela completa (--list): todas as 15 CVEs com seu grupo e build corrigidaUso# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6
# fully patched build
python3 wsftp_scanner.py --version 2025.0.4
# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6
# on the Windows host itself
python3 wsftp_scanner.py --local
# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json
# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json
# the full 15-CVE table
python3 wsftp_scanner.py --list
Códigos de saída: 0 = nada vulnerável encontrado, 2 = achado vulnerável, 1 = erro de varredura. UNKNOWN não altera o código de saída, mas não é limpo: um branch fora de 2024.0 / 2025.0 (exceto uma versão anterior a 2024.0) é classificado como UNKNOWN porque não há build corrigido para ele na tabela desta ferramenta.
Onde as fontes divergem, e o que ainda não foi verificadoPrimeiro, uma coisa: o artigo de conhecimento principal do Progress para este lote está atrás de um login Progress ID, portanto não pôde ser aberto diretamente para esta build. A tabela de correções dividida acima é corroborada por registros CVE independentes (registros do projeto CVE via cvefeed, entradas do SecurityFocus e o write-up do lote), todos citando o mesmo aviso do Progress, e a divisão em grupos (3 + 12 = 15) é consistente entre eles. Se você possui um login Progress, confirme o artigo em relação a esta tabela e abra uma issue se algo divergir.
Segundo, as pontuações individuais só são impressas onde um registro CVE foi verificado: 84295 em 10.0, 90868 em 9.9, 90864 / 90863 / 90866 em 9.1, 90865 em 9.0, 90867 em 8.1, 84294 em 7.7, 90869 em 7.5, 90872 em 6.6, 90871 em 5.3. As pontuações de 84296, 90861, 90862 e 90870 não foram confirmadas individualmente nas fontes verificadas, portanto a ferramenta os lista por grupo sem afirmar uma pontuação. Isso não altera em nada a classificação: a pertinência ao grupo, e não a pontuação individual, determina o build corrigido.
Mitigação se você não puder aplicar o patch hojeA atualização é a correção; não há patch disponível para os branches anteriores a 2024.0 e nenhum patch parcial que feche o grupo B. Até que você possa atualizar, restrinja os consoles web administrativos apenas a redes internas, e trate qualquer WS_FTP Server exposto à internet abaixo de 2024.0.7 / 2025.0.4 como exposto a uma falha de credenciais não autenticada. Rotacione as credenciais administrativas em qualquer host que tenha estado exposto à internet enquanto não corrigido: a falha principal as expõe, e um patch não as desexpõe.
Testespython3 -m unittest discover -s tests -v
17 testes: análise de versões em ambas as numerações, a armadilha em ambos os ramos, builds totalmente corrigidos, equivalência legada 9.0 / 10.0, classificação sem correção pré-2024.0, UNKNOWN para ramo não listado, correspondência de entrada no registro, e códigos de saída da CLI mais a contagem da lista de 15 CVEs.
AgradecimentosProgress Software, pelo lote de patches e pela tabela de correções dividida contra a qual esta ferramenta classificaCVE e os registros CNA, pelas descrições e pontuações por CVESecurityOnline, SecurityFocus e cvefeed, cujos registros corroboraram a tabela enquanto o artigo principal permaneceu protegido por loginAviso legalApenas para triagem defensiva. Esta ferramenta verifica strings de versão e informa se uma instalação está abaixo de um build corrigido. Não envia tráfego, não sonda nenhum servidor e não substitui o aviso do fornecedor. Use-a em sistemas que você possui ou está autorizado a auditar.
Pesquisa por
Vineeth Kumar(foxcornlab). Encontrou um bug ou deseja um recurso, abra umaissue.