Parches de progreso 10.0 CVSS WS_FTP Fallo del servidor CVE-2026-84295 y otros 14 errores

Progress Software publicó actualizaciones de seguridad el 29 de octubre de 2026 para corregir 15 vulnerabilidades del servidor WS_FTP. La vulnerabilidad más grave, CVE-2026-84295, alcanza una puntuación CVSS máxima de 10.0 y permite a atacantes no autenticados robar credenciales administrativas. Los administradores deben aplicar las últimas actualizaciones de servicio de inmediato para proteger los servidores corporativos.

Por qué es importante

Las organizaciones implementan WS_FTP Server para gestionar transferencias de archivos automatizadas y críticas, así como intercambios de datos seguros. Según la telemetría de Shodan, miles de servidores de transferencia de archivos empresariales permanecen expuestos a internet.

Análisis de campañas anteriores demuestran que los ciberdelincuentes suelen atacar las pasarelas de transferencia de archivos durante las fases iniciales de intrusión. Dejar estas vulnerabilidades de WS_FTP Server sin parchear expone las redes empresariales a la toma total del servidor, el robo de credenciales y la exfiltración de datos. Progress Software y las bases de datos de vulnerabilidades indican que no se ha confirmado ninguna explotación activa. Además, los investigadores no han publicado ningún código de prueba de concepto para explotar estas vulnerabilidades.

Cómo funciona el ataque

El aviso detalla graves debilidades en la autenticación, la autorización y la validación de entradas en los componentes web y de transferencia.

Fallos críticos de autenticación e inyección de comandos

En primer lugar, la vulnerabilidad CVE-2026-84295 tiene una calificación crítica de 10.0 CVSS debido a una lógica de autenticación defectuosa. El proveedor señala que «una autenticación incorrecta en las versiones de Progress Software WS_FTP Server anteriores a la 2024.0.6 y 2025.0.3 en Windows podría permitir que un atacante remoto no autenticado acceda a información confidencial, incluidas las credenciales administrativas». Con estas credenciales, los atacantes pueden acceder a las consolas de administración sin privilegios válidos.

Además, Progress solucionó dos vulnerabilidades críticas de inyección de comandos del sistema operativo. Como se indica en el aviso, «una vulnerabilidad de inyección de comandos del sistema operativo en las versiones de Progress Software WS_FTP Server anteriores a la 2024.0.7 y 2025.0.4 en Windows podría permitir la ejecución de comandos arbitrarios bajo ciertas configuraciones». Los atacantes identifican este problema de alto impacto como CVE-2026-90868 (CVSS 9.9) y CVE-2026-90865 (CVSS 9.0). Ambas vulnerabilidades permiten a los atacantes ejecutar comandos arbitrarios del sistema en equipos Windows.