WS_FTP Serverに認証なしで管理者情報が漏れる脆弱性、修正版あり
Windows向けのWS_FTP Serverに、認証の不備から管理者の資格情報などが外部に読み取られる脆弱性が見つかりました。ファイル転送の窓口として使っている組織が対象で、2024.0.6または2025.0.3の修正版への更新が必要です。更新後は管理者の資格情報も変更しておくと安心です。
急ぎ度: 至急
CVSS v3が満点の10で、認証もユーザー操作も不要とされており、修正版がすでに出ているためです。
関係があるか
Windows上でWS_FTP Serverを動かし、取引先や社内部門とのファイル受け渡しに使っている組織が対象です。インターネットから接続できる構成は、特に優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Progress Software WS_FTP Server(Windows) | 2024.0.6より前の版 | 2024.0.6 |
| Progress Software WS_FTP Server(Windows) | 2025.0.3より前の版 | 2025.0.3 |
確かめ方
- 1WS_FTP Serverを入れたWindowsサーバーにログインし、コントロールパネルの「プログラムと機能」で、インストールされている版を確認します。
- 2版が2024.0系なら2024.0.6、2025.0系なら2025.0.3に届いているかを見比べます。届いていなければ対象です。
- 3資産管理台帳に載っていない検証用や部門用のサーバーが残っていないか、情シスと各部門で洗い出します。
- 4外部から接続できる状態かどうかを、ファイアウォールやルーターの公開設定で確認します。
何が起きたか
Progress SoftwareのWindows向けWS_FTP Serverに、認証の仕組みの不備による脆弱性が見つかりました。悪用されると、管理者の資格情報を含む機密情報が外部から読み取られる恐れがあります。影響するのは2024.0.6より前の版と2025.0.3より前の版で、修正版は2024.0.6と2025.0.3です。
筆者は、ファイル転送サーバーという性格と満点のCVSSを考えると、定例の更新を待たずに今週中に対応を済ませたい案件だと見ています。
分類はCWE-287（不適切な認証）とCWE-522（資格情報の不十分な保護）です。認証の確認が甘いことと、資格情報の扱いが不十分なことが重なり、管理者の情報にまで手が届く状況になっています。CVSSのベクターでは影響範囲が変わる（スコープ変更）と評価されており、機密性・完全性・可用性のいずれも影響が大きいとされています。
Progress Softwareが2026年10月29日に、アドバイザリで公表しました。
攻撃の流れ
-
1
サーバーへ到達
ネットワーク経由でWS_FTP Serverに接続できる位置から、サーバーに働きかけます。
-
2
認証の不備
認証が正しく確認されない箇所を通り、本来は許可されない情報の読み取りに進みます。
-
3
管理者情報の取得
管理者の資格情報などの機密情報が読み取られます。
-
4
管理権限の悪用
得た資格情報で管理操作が行われ、保管ファイルや設定に影響が及ぶ恐れがあります。
どう悪用されるか
ネットワーク経由で攻撃でき、事前のログインは要りません。利用者がリンクを開くなどの操作も必要なく、攻撃の複雑さは低いと評価されています。WS_FTP Serverに到達できる位置にいる第三者なら、条件を満たすことになります。
被害としてまず想定されるのは、管理者の資格情報の漏えいです。資格情報が渡れば、保管されたファイルの閲覧や改変、設定の変更、サービスの停止にも発展しかねません。スコープ変更と評価されていることから、被害がWS_FTP Server単体にとどまらず、同じ資格情報を使い回した別の仕組みにも及ぶ恐れがあります。
今すぐやること
-
1
対象の版かどうかを確認する
社内のWS_FTP Serverをすべて洗い出し、版を確認します。2024.0系は2024.0.6、2025.0系は2025.0.3に届いていなければ更新の対象です。
-
2
修正版に更新する
インターネットに公開しているサーバーから順に、2024.0.6または2025.0.3へ更新します。更新前に設定とデータのバックアップを取り、取引先との転送が止まる時間帯も調整しておきます。
-
3
管理者の資格情報を変更する
更新後に、管理者アカウントのパスワードを変更します。ほかのシステムで同じパスワードを使っていれば、そちらも変えます。更新前に漏れていた場合に備える作業です。
-
4
ログを確認する
公表日以降のログで、見覚えのない接続元や、管理者アカウントの不自然な操作がないかを確認します。不審な点があれば、インシデントとして社内の手順で扱います。
すぐ更新できないとき
更新まで時間がかかる場合は、ファイアウォールでWS_FTP Serverへの接続元を取引先や社内のIPアドレスに絞り、不特定多数が到達できない状態にします。被害を抑える暫定の措置であり、修正版への更新の代わりにはなりません。
背景
WS_FTP Serverは、取引先とのデータ交換や拠点間のファイル配送を担うファイル転送サーバーです。外部とのやり取りに使うため、インターネットから接続できる形で置かれることが多く、受発注データや設計図などの業務ファイルが集まります。管理者の資格情報を奪われると、保管ファイルだけでなく、アカウントや公開範囲の設定にも手が届くため、被害が広がりやすい製品です。
今回の脆弱性は、認証の確認が不十分なことと、資格情報の保護が弱いことが重なっています。外部との窓口になるサーバーでは、1つの不備が認証の突破と情報の読み取りの両方につながるため、満点のCVSSが付いたと考えられます。
よくある質問
Q.インターネットに公開していなければ、急がなくてもよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。また、KEVへの掲載やEPSSの値も確認できていません。最新の状況はProgress Softwareのアドバイザリで確認してください。
- どの情報がどの範囲まで読み取られるのか、更新までの回避策があるのかは、公表されていません。詳細はベンダーの告知に追記される可能性があります。
- Windows以外の環境や、上記以外の版での影響は公表されていません。該当する環境がある場合は、ベンダーに問い合わせてください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Progress Software | WS_FTP Server |
2024.0.6 未満 2025.0.3 未満 |
2024.0.6 2025.0.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper authentication in Progress Software WS_FTP Server versions prior to 2024.0.6 and 2025.0.3 on Windows could allow an unauthenticated remote attacker to access sensitive information, including administrative credentials.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web progress.lightning.force.com
- web nvd.nist.gov
- web github.com