CVE-2026-84295 : WS_FTP Server CVSS 10 — auth bypass admin

Les faits

Le 29 octobre 2026, Progress Software a publié un correctif de sécurité d'urgence pour son logiciel de transfert de fichiers WS_FTP Server, corrigeant quinze vulnérabilités dont la plus critique porte l'identifiant CVE-2026-84295 et obtient le score CVSS maximal de 10.0. Cette faille, classée CWE-287 (Improper Authentication) et CWE-522 (Insufficiently Protected Credentials), permet à un attaquant distant non authentifié d'accéder à des informations sensibles, y compris les credentials administrateurs du serveur WS_FTP. L'impact potentiel est total : un attaquant exploitant cette vulnérabilité obtient un accès complet à l'interface d'administration du serveur de transfert de fichiers.

Techniquement, la vulnérabilité réside dans un défaut d'authentification au niveau de l'interface web de WS_FTP Server. Le mécanisme de protection des credentials administrateurs est insuffisant (CWE-522) : sous certaines conditions d'accès à l'interface de gestion, le serveur retourne ou expose des informations d'authentification sans exiger de session valide préalable. Le vecteur d'attaque est réseau, la complexité est faible, aucun privilège n'est requis et aucune interaction utilisateur n'est nécessaire, ce qui justifie le score CVSS 10.0 avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

WS_FTP Server est un logiciel de transfert de fichiers sécurisé largement déployé dans les environnements d'entreprise, particulièrement dans les secteurs financier, industriel, de la santé et du secteur public. Il supporte les protocoles FTP, FTPS, SFTP et AS2. Les organisations qui utilisent ce produit pour des transferts de données sensibles ou des échanges B2B sont particulièrement exposées. Selon Progress Software, des centaines de milliers d'installations de WS_FTP Server sont actives dans le monde, dont une large part expose l'interface web d'administration pour faciliter la gestion à distance.

Aux côtés de CVE-2026-84295, Progress a également corrigé CVE-2026-84296 (CVSS 6.8, contournement d'authentification partiel) et CVE-2026-84294 (CVSS 7.7, traversée de répertoires permettant l'accès à des fichiers arbitraires hors du répertoire racine). Ces trois CVE affectent les mêmes versions et sont corrigées dans le même lot de mises à jour. La simultanéité de ces découvertes suggère qu'un audit de sécurité approfondi ou une recherche de vulnérabilités ciblée a été réalisée sur ce produit, ce qui n'exclut pas l'existence d'autres failles non encore divulguées.

La criticité de CVE-2026-84295 est amplifiée par le contexte d'utilisation de WS_FTP Server : ce logiciel est souvent déployé sur des serveurs exposés à Internet pour permettre les échanges de fichiers avec des partenaires externes. Cela signifie que l'interface web de gestion — vecteur de cette attaque — peut être directement accessible depuis n'importe quel point d'Internet. Le risque de compromission est immédiat dès qu'un attaquant découvre une instance vulnérable, et des outils de découverte de services comme Shodan ou Censys permettent d'identifier ces instances à grande échelle.

Progress Software n'a pas publié d'indication concernant l'existence d'un code de preuve de concept (PoC) disponible publiquement au moment de la publication de l'advisory WSFTP-2026-10. Cependant, la nature du score CVSS 10.0 et la simplicité apparente du vecteur d'attaque — absence de prérequis d'authentification, faible complexité — rendent le développement d'un PoC probable dans les jours suivant la divulgation. L'historique des vulnérabilités WS_FTP Server est préoccupant à cet égard : en 2023 et 2024, des failles similaires avaient été exploitées massivement dans un délai très court après la publication des patches, notamment par des groupes de ransomware dont Clop.

En 2023, les CVE-2023-40044 et CVE-2023-42657 avaient été exploitées dans les 48 heures suivant leur divulgation par le groupe ransomware Clop lors d'une campagne d'exploitation massive de serveurs WS_FTP. Ce précédent doit alerter les responsables sécurité : la fenêtre de patching est probablement inférieure à 72 heures pour CVE-2026-84295. Les organisations dans les secteurs réglementés — banque, santé, secteur public — sont des cibles prioritaires pour ce type d'attaque visant les serveurs de transfert de fichiers Progress.

L'advisory de Progress Software couvre l'ensemble des quinze vulnérabilités corrigées dans ce lot, incluant des failles de sévérité moyenne et haute en plus de CVE-2026-84295. Une analyse post-exploitation réussie pourrait permettre à l'attaquant de créer de nouveaux comptes administrateur, modifier les configurations de transfert pour exfiltrer des données, voire déployer un webshell sur le serveur Windows hébergeant WS_FTP. La combinaison de CVE-2026-84295 avec CVE-2026-84294 (path traversal) offrirait un accès complet au système de fichiers du serveur, en faisant un vecteur d'exfiltration de données massives particulièrement dangereux.

Impact et exposition

CVE-2026-84295 expose toute organisation ayant déployé WS_FTP Server en versions antérieures à 2024.0.6 ou 2025.0.3 et dont l'interface web d'administration est accessible depuis le réseau, y compris depuis Internet. La condition d'exploitation est minimale : un attaquant disposant d'une connectivité réseau vers le port d'administration du serveur peut tenter l'exploitation sans credential ni configuration particulière. L'impact en cas de succès est total : accès aux credentials administrateur, contrôle complet du serveur de transfert, accès potentiel à tous les fichiers transitant ou stockés sur le serveur.

Les secteurs les plus exposés sont ceux utilisant WS_FTP Server pour des échanges réglementés : secteur bancaire (transferts SWIFT, SEPA), santé (dossiers patients, résultats d'examens), secteur public (marchés publics, données personnelles), industrie (plans techniques, propriété intellectuelle). Dans tous ces contextes, la compromission du serveur WS_FTP pourrait entraîner des violations de données massives avec obligations de notification RGPD, des sanctions réglementaires et des pertes financières significatives.

Au moment de la publication de l'advisory Progress, aucune exploitation in-the-wild confirmée n'a été signalée par les organismes de surveillance tels que la CISA ou le CERT-FR. Toutefois, compte tenu de la criticité maximale et de l'historique de ce type de vulnérabilités WS_FTP, la CISA pourrait ajouter cette CVE à son catalogue Known Exploited Vulnerabilities (KEV) très rapidement si des exploitations sont confirmées. Les organisations sous contrainte de conformité BOD 22-01 doivent traiter cette vulnérabilité avec la même urgence que si elle était déjà dans le KEV.

Les environnements Windows exposant WS_FTP Server sur des ports standards (443, 8080, 8443 pour l'interface HTTPS d'administration) sont directement concernés. Un scan massif d'Internet via des outils de découverte de services permet à un attaquant de recenser rapidement les instances vulnérables à l'échelle mondiale, ce qui est typiquement la première étape des campagnes d'exploitation à grande échelle observées historiquement pour les serveurs de transfert de fichiers Progress.

Recommandations immédiates

• Mettre à jour WS_FTP Server vers la version 2024.0.6 (branche 2024) ou 2025.0.3 (branche 2025) — Progress Security Advisory WSFTP-2026-10
• Si la mise à jour immédiate est impossible : restreindre l'accès à l'interface web d'administration de WS_FTP Server aux seules adresses IP des administrateurs via pare-feu ou ACL réseau
• Vérifier dans les logs d'accès à l'interface web d'administration toute requête suspecte vers les endpoints d'authentification — indicateur de tentative d'exploitation
• Auditer les comptes administrateur WS_FTP Server pour détecter tout ajout suspect de compte ou modification de credentials depuis le début du mois d'octobre 2026
• En cas de doute sur une compromission antérieure : réinitialiser tous les credentials administrateur WS_FTP Server et vérifier l'intégrité des fichiers transférés récemment
• Surveiller les bulletins CERT-FR et CISA KEV pour des mises à jour sur l'exploitation active de CVE-2026-84295