Сканер локальной триажной проверки только для обнаружения для пакета исправлений Progress WS_FTP Server за октябрь 2026 года: CVE-2026-84295 (CVSS 10.0) и ещё 14 уязвимостей, с оценкой по каждой группе согласно таблице исправлений с разделением на 2024.0.6/2025.0.3 и 2024.0.7/2025.0.4. Без полезных нагрузок, без удалённого зондирования.
wsftp-server-scannerЛокальная триажная проверка для пакета патчей Progress WS_FTP Server от 29 октября 2026: 15 уязвимостей, одна из них — 10.0. Укажите версию, которой вы владеете, — инструмент сообщит, остаётся ли эта установка открытой, и выявит ловушку, из-за которой первая пропатченная сборка вводит в заблуждение. Он никогда не обращается к сети, не зондирует сервер и не отправляет полезную нагрузку.
ПакетДеталь | Значение |
|---|---|
Главное | CVE-2026-84295, некорректная аутентификация, 10.0 критическая: неаутентифицированный удалённый атакующий может получить доступ к конфиденциальной информации, включая административные учётные данные |
Следующая по тяжести | CVE-2026-90868, инъекция команд ОС, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 с оценкой 9.1; CVE-2026-90865, инъекция команд ОС, 9.0 |
Всего | 15 CVE: 6 критических, 3 высоких, 6 средних, согласно описанию пакета |
Эксплуатация | Не подтверждена, публичных proof of concept не зарегистрировано, по состоянию на 31 октября 2026. Это утверждение о том, что было зарегистрировано, а не повод ждать: неаутентифицированная уязвимость учётных данных с оценкой 10.0 в шлюзе передачи файлов не нуждается в долгом фитиле |
Продукт | Progress WS_FTP Server только на Windows |
Ловушка: две исправленные сборки, а не однаГруппа | CVE | Исправлено в |
|---|---|---|
A | CVE-2026-84294, CVE-2026-84295, CVE-2026-84296 | 2024.0.6 / 2025.0.3 |
B | CVE-2026-90861 по CVE-2026-90872 (12 CVE) | 2024.0.7 / 2025.0.4 |
Хост на 2024.0.6 или 2025.0.3 закрыл уязвимость 10.0 и по-прежнему открыт для уязвимости инъекции команд с оценкой 9.9. Патчинг до первой пропатченной сборки кажется завершённым, но таковым не является. Этот инструмент оценивает две группы отдельно и выводит TRAP именно для такого случая. Единственные полностью пропатченные сборки в таблице — 2024.0.7 и 2025.0.4 (а также более поздние сборки в этих ветках).
Почему локально, а не удалённоWS_FTP Server работает на Windows, и удалённое определение версии здесь ненадёжно: баннер входа может быть скрыт, а идентификация SSH может быть подавлена. Поэтому этот инструмент ничего не зондирует. Запускайте его на самом хосте Windows (--local читает записи удаления Programs and Features через winreg), либо передайте ему версию из WS_FTP Manager, About или Programs and Features (--version), либо экспортированный список удалённых программ (--registry-json).
Нумерация версий, принимаются обе формыProgress продаёт одни и те же релизы под двумя нумерациями: 2024.0 — это 9.0, а 2025.0 — это 10.0. Так, 9.0.6 означает 2024.0.6, а 10.0.4 означает 2025.0.4, и этот инструмент оценивает их одинаково. Релизы старше 2024.0 (9.0), включая 2022.0 (8.8.x), не имеют пропатченной сборки в своей ветке: они оцениваются как VULNERABLE для обеих групп, и исправлением является обновление ветки до 2024.0.7 или 2025.0.4, а не патч на месте.
Что проверяетсяУказанная вами версия (--version 2024.0.6), оцениваемая по группам согласно раздельной таблице исправленийЭтот хост Windows (--local): запись удаления WS_FTP Server, сопоставляемая по имени, чтобы установленный клиент WS_FTP Pro не был оценён как серверАвтономная инвентаризация (--registry-json entries.json): список JSON из записей {DisplayName, DisplayVersion} для парков, которые централизованно экспортируют Programs and FeaturesПолная таблица (--list): все 15 CVE с их группой и исправленной сборкойИспользование# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6
# fully patched build
python3 wsftp_scanner.py --version 2025.0.4
# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6
# on the Windows host itself
python3 wsftp_scanner.py --local
# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json
# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json
# the full 15-CVE table
python3 wsftp_scanner.py --list
Коды выхода: 0 = уязвимостей не найдено, 2 = найдена уязвимость, 1 = ошибка сканирования. UNKNOWN не меняет код выхода, но это не означает «чисто»: ветка вне 2024.0 / 2025.0 (кроме релиза до 2024.0) получает оценку UNKNOWN, поскольку исправленной сборки для неё нет в таблице этого инструмента.
Где источники расходятся и что остаётся непровереннымСначала одно замечание: основная статья базы знаний Progress для этого пакета закрыта авторизацией по Progress ID, поэтому её не удалось открыть напрямую при подготовке этой сборки. Приведённая выше таблица разделения исправлений подтверждается независимыми записями CVE (записи проекта CVE через cvefeed, материалы SecurityFocus и обзор пакета), все из которых ссылаются на один и тот же бюллетень Progress, и разделение на группы (3 + 12 = 15) согласуется между ними. Если у вас есть учётная запись Progress, сверьте статью с этой таблицей и откройте issue, если что-то расходится.
Во-вторых, отдельные оценки выводятся только там, где была проверена запись CVE: 84295 — 10.0, 90868 — 9.9, 90864 / 90863 / 90866 — 9.1, 90865 — 9.0, 90867 — 8.1, 84294 — 7.7, 90869 — 7.5, 90872 — 6.6, 90871 — 5.3. Оценки для 84296, 90861, 90862 и 90870 не были подтверждены по отдельности в проверенных источниках, поэтому инструмент перечисляет их по группе, не утверждая оценку. Это никак не влияет на вердикт: исправленную сборку определяет принадлежность к группе, а не отдельная оценка.
Меры защиты, если вы не можете обновиться сегодняОбновление — это исправление; для веток до 2024.0 патча нет, и нет частичного патча, закрывающего группу B. Пока вы не можете обновиться, ограничьте доступ к административным веб-консолям только внутренними сетями и считайте любой WS_FTP Server ниже 2024.0.7 / 2025.0.4, доступный из интернета, подверженным уязвимости неаутентифицированного доступа к учётным данным. Смените административные учётные данные на любом хосте, который был доступен из интернета, пока не был пропатчен: главная уязвимость раскрывает их, а патч не отменяет факт их раскрытия.
Тестыpython3 -m unittest discover -s tests -v
17 тестов: разбор версий в обеих нумерациях, ловушка в обеих ветках, полностью пропатченные сборки, эквивалентность legacy 9.0 / 10.0, оценка без исправления для версий до 2024.0, UNKNOWN для неучтённой ветки, сопоставление с записью реестра, а также коды выхода CLI и количество в списке из 15 CVE.
БлагодарностиProgress Software — за пакет исправлений и разделённую таблицу исправлений, по которой работает оценка этого инструментаCVE и записям CNA — за описания и оценки по каждому CVESecurityOnline, SecurityFocus и cvefeed, чьи записи подтвердили таблицу, пока основная статья оставалась закрыта логиномОтказ от ответственностиТолько для защитной триажной сортировки. Этот инструмент проверяет строки версий и сообщает, находится ли установка ниже исправленной сборки. Он не отправляет трафик, не зондирует сервер и не заменяет рекомендации производителя. Используйте его в системах, которыми вы владеете или которые уполномочены проверять.
Исследование
Vineeth Kumar(foxcornlab). Нашли ошибку или хотите новую функцию — откройтеissue.