重大 9.9 急ぎ度: 早めに

WS_FTP Serverでコマンド実行の脆弱性、修正版あり

Windows版のWS_FTP Serverに、ログインできるユーザーがサーバー上で任意のコマンドを実行できてしまう脆弱性が見つかりました。社内外とのファイル受け渡しにWS_FTP Serverを使っている組織が対象で、2024.0.7または2025.0.4への更新が必要です。

CVE-2026-90868 公開 1:06 生成 AI で作成

急ぎ度: 早めに

CVSS v3が9.9と高く、修正版がすでに出ているため、悪用の報せを待たずに早めに更新するのが妥当です。

関係があるか

Windows上でWS_FTP Serverを運用している組織が対象です。取引先や拠点にログイン用アカウントを配っている環境は、とくに影響を受けやすいと考えられます。

製品	影響を受ける版	直った版
Progress Software WS_FTP Server（Windows）	2024.0.7より前、および2025.0.4より前	2024.0.7、2025.0.4

確かめ方

1WS_FTP ServerをインストールしているWindowsサーバーを洗い出し、導入されている版を確認します。「プログラムと機能」の一覧でも確認できます。
2PowerShellなら、次のコマンドで表示名と版を一覧にできます。32ビット版の登録先は別なので、何も出ないときはWow6432Node側も見てください。
3版が2024.0.7未満、または2025.0.4未満であれば、修正前の状態です。部門が個別に立てた検証用や、すでに忘れられたサーバーも見落とさないようにします。

何が起きたか

Windows版のWS_FTP Serverに、OSコマンドインジェクションの脆弱性が見つかりました。特定の構成の環境では、ログインできるユーザーがサーバーのOS上で任意のコマンドを実行できてしまいます。

Progress Softwareが2026年10月29日に告知し、2024.0.7と2025.0.4で修正しています。脆弱性の種類はCWE-78（OSコマンドインジェクション）とCWE-88（引数インジェクション）です。外部から渡された値が、OSに渡すコマンドの組み立てに入り込むことで起きるタイプです。

攻撃の流れ

1

ネットワークから接続

有効なアカウントを持つ者が、ネットワーク越しにWS_FTP Serverへ接続します。
2

細工した値を送る

特定の構成のサーバーに、OSコマンドの組み立てに入り込む値を渡します。
3

コマンドが実行される

サーバーのOS上で、攻撃者が選んだコマンドが動きます。
4

サーバーと周辺に影響

保管ファイルの閲覧や改ざん、サービス停止、同じネットワーク内の別の機器への影響が考えられます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用にはログインが必要ですが、必要な権限は低くて足ります。ネットワーク越しに実行でき、複雑な条件はなく、サーバー管理者や利用者の操作も要りません。ただし、影響が出るのは特定の構成のときに限られます。

被害は、機密性・完全性・可用性のいずれも大きく損なわれる可能性があります。CVSSでは影響範囲が変わる（スコープ変更あり）と評価されており、WS_FTP Server自体にとどまらず、同じサーバーや周辺のシステムまで及ぶおそれがあります。

「インターネットに公開していないから安全」とは言い切れません。取引先や委託先に配ったアカウントが流出したり、社内の一般ユーザーのアカウントが使われたりすれば、条件は満たされます。

今すぐやること

導入している版を確認する

WS_FTP Serverが動いているサーバーを一覧にし、版を確認します。

Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like "*WS_FTP*" } | Select-Object DisplayName, DisplayVersion

2

修正版に更新する

2024.0系は2024.0.7以降、2025.0系は2025.0.4以降に更新します。更新前に設定とユーザー情報のバックアップを取り、手順はProgress Softwareの告知で確認してください。
3

アカウントと公開範囲を見直す

使われていないアカウントや、退職者・契約終了した取引先のアカウントを無効にします。接続元のIPアドレスを絞れるなら、あわせて絞っておきます。
4

更新前後のログを確認する

WS_FTP Serverのログと、Windowsのイベントログを見ます。身に覚えのないアカウントでのログインや、サービスから起動された見慣れないプロセスがないかを確認します。

すぐ更新できないとき

すぐに更新できない場合は、WS_FTP Serverへの接続元をファイアウォールで必要な相手に絞り、不要なアカウントを無効にしてください。ただし、これは悪用の機会を減らすだけで、脆弱性そのものはなくなりません。ベンダーが公式の回避策を示しているかは、Progress Softwareの告知で確認してください。

背景

WS_FTP Serverは、取引先や拠点とのファイル受け渡しに使われるWindows向けのファイル転送サーバーです。請求データや設計図のような業務ファイルが置かれ、外部からの接続を受け付ける構成も多くなります。そのため、侵入されると、置かれているファイルの流出と、社内ネットワークへの足がかりの両方につながります。

WS_FTP Serverでは、2023年にも重大な脆弱性が公表され、公開後に攻撃が確認されました。今回とは別の脆弱性ですが、ファイル転送サーバーが外部から狙われやすい種類のシステムだとわかる例です。

よくある質問

Q.2024.0系を使っています。2025.0系まで上げる必要がありますか。

A.告知では、2024.0.7と2025.0.4がそれぞれ修正版として挙がっています。使っている系列の修正版に更新すれば足ります。大きな版上げが必要かどうかは、ライセンスや保守契約も含めてベンダーの案内で確認してください。

Q.すでに侵入されたかどうかは、どう調べればよいですか。

A.ログインの記録で、使われていないアカウントや想定外の接続元からの接続がないかを見ます。Windows側では、WS_FTP Serverのサービスから見慣れないプロセスが起動していないか、新しいアカウントや不審なファイルが増えていないかも確認します。痕跡が見つかった場合は、更新だけで済ませず、パスワードの変更と調査を進めてください。

まだ分かっていないこと

影響が出る「特定の構成」の具体的な内容は、公表されていません。自社の設定が当てはまるかは、Progress Softwareの告知で確認してください。
実際の攻撃で悪用されたかどうかや、悪用を確認できる手がかり（侵害の痕跡）は、公表されていません。
コマンドがどの権限で実行されるかや、公式の回避策の有無は分かっていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Progress Software	WS_FTP Server	2024.0.7 未満 2025.0.4 未満	2024.0.7 2025.0.4

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

An OS command injection vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow arbitrary command execution under certain configurations.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory