Vulnérabilités critiques dans Progress WS_FTP Server
.png)
Produits concernés
• Progress WS_FTP Server branche 2024 versions antérieures à 2024.0.7
• Progress WS_FTP Server branche 2025 versions antérieures à 2025.0.4
Prérequis
• Accès réseau au serveur WS_FTP Server
• Pour CVE-2026-90868 : un compte utilisateur valide sur le serveur et une configuration spécifique non détaillée par l'éditeur
Risques
• Exécution de code arbitraire
• Exploitation d'informations d'identification
• Exfiltration de données sensibles
• Déploiement de malware sur l'actif
• Accès au réseau interne de l'entreprise
Résumé
Deux vulnérabilités critiques de type "Contournement d'authentification" et "Injection de commandes" affectant les solutions Progress WS_FTP Server ont récemment été publiées par l'éditeur Progress Software le 29 octobre 2026.
Le niveau de criticité initial de ces vulnérabilités est de 10.0 (score CVSSv3.1).
La solution WS_FTP Server est un serveur de transfert de fichiers pour Windows, utilisé pour échanger des fichiers avec des partenaires, des clients ou des utilisateurs distants.
• CVE-2026-84295 : Une vulnérabilité dans le mécanisme d'authentification de la solution WS_FTP Server pourrait permettre à un attaquant distant non authentifié d'accéder à des informations sensibles, dont les identifiants administrateur. L'exploitation de cette CVE pourrait permettre à l'attaquant de prendre le contrôle du serveur avec des privilèges d'administration et d'accéder aux fichiers échangés.
• CVE-2026-90868 : Une vulnérabilité d'injection de commandes dans la solution WS_FTP Server pourrait permettre à un attaquant authentifié d'exécuter des commandes arbitraires sur le système d'exploitation du serveur. L'exploitation de cette CVE, combinée aux identifiants obtenus via CVE-2026-84295, pourrait permettre à l'attaquant de compromettre entièrement le serveur.
À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants ou d'exploit public n'a été remontée.
Étant donné le risque associé, nous préconisons de corriger ces vulnérabilités sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est compromis, vous pouvez :
• Contrôler les journaux d'authentification de WS_FTP Server à la recherche de connexions administrateur inhabituelles
• Vérifier l'absence de comptes, de règles ou de tâches créés ou modifiés sans justification
• Rechercher des processus inhabituels lancés par le service WS_FTP Server sur le système Windows
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour Progress WS_FTP Server vers les versions :
• 2024.0.7
• 2025.0.4
En cas de suspicion de compromission, réinitialiser les mots de passe des comptes administrateur après la mise à jour.
Mitigation
Aucune mitigation officielle n'est publiée. Progress invite à contacter son support technique pour obtenir des recommandations.
Références
• https://nvd.nist.gov/vuln/detail/CVE-2026-84295
• https://nvd.nist.gov/vuln/detail/CVE-2026-90868
• https://www.cve.org/CVERecord?id=CVE-2026-84295
• https://www.cve.org/CVERecord?id=CVE-2026-90868
• https://censys.com/advisory/cve-2026-84295-and-others/
• https://cyberveille.esante.gouv.fr/alertes/progress-software-cve-2026-84295-2026-10-30
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
