Progress SoftwareのShareFileサービスで重大な脆弱性が発見される

Progress SoftwareのShareFileサービスで2つの重大な脆弱性が発見されました。これらの欠陥は、認証されていないリモート攻撃者によってチェーン化される可能性があり、設定変更とリモートコード実行を達成できます。

現在のところ、これらの脆弱性が実際に悪用された既知のケースはありませんが、ファイル共有ソフトウェアの脆弱性は脅威アクターによって積極的に標的にされているため、悪用の試みが起こりそうです。2023年には、Progress SoftwareのMOVEitファイル転送ソフトウェアのゼロデイ脆弱性がClopランサムウェアグループによって大量に悪用され、世界中で数百人の被害者が出ました。程度は低いですが、FortraのGoAnywhere、Accellion FTA、Cleo MFTの脆弱性も大量に悪用されました。したがって、ユーザーは悪用を防ぐため、セキュリティ更新を速やかに適用することをお勧めします。

脆弱性は、顧客管理ゾーンのShareFile Storage Zones Controller v5バージョンのデプロイに影響を与え、CVE-2026-2699として追跡される認証バイパス脆弱性とCVE-2026-2701として追跡されるリモートコード実行脆弱性が含まれます。

Progress Softwareのセキュリティアラートによると、「これらの脆弱性により、認証されていないリモート攻撃者がオンプレミスストレージゾーンコントローラーの設定ページにアクセスでき、システム設定の変更とリモートコード実行につながる可能性があります。」認証バイパス脆弱性のCVSS v3.1ベーススコアは9.8で、RCE脆弱性のCVSSベーススコアは9.1です。

脆弱性はバージョン0から5.12.3に影響を与え、バージョン5.12.4でパッチが適用されています。脆弱性はどのv6バージョンにも存在しません。Progress Softwareは、悪用を防ぐため、できるだけ早くV6のパッチ適用版にアップグレードすることを強く推奨しています。サポートされていないバージョンのユーザーは、できるだけ早くサポートされている固定版にアップグレードすることを確認する必要があります。

脆弱性はwatchTowr社のセキュリティ研究者SonnyおよびPiotr Bazydloによって特定され、Progress Softwareに報告されました。Shadow Serverによると、米国のShareFileに関連付けられた334のユニークIPがあります。