ACP Gruppe | Threat Ticker

TI - CVE-2026-84295 - Progress WS_FTP Server - Improper Authentication / OS Command Injection

SOC Austria — Mon, 02 Nov 2026 14:45:53 GMT

Beschreibung:

Progress Software hat am 29.10.2026 insgesamt 15 Schwachstellen im WS_FTP Server (Windows) öffentlich gemacht. Die zugehörigen Fixes sind bereits in den Service Packs 2024.0.6 / 2025.0.3 (veröffentlicht am 03.09.2026) sowie 2024.0.7 / 2025.0.4 (veröffentlicht am 01.10.2026) enthalten. Neu ist, dass mit der Veröffentlichung der CVE-Records nun die Details öffentlich sind. Server, die diese Service Packs nicht eingespielt haben, laufen damit mit öffentlich dokumentierten kritischen Lücken. Erschwerend: Die „Fixed Issues“-Seiten der Release Notes nennen die CVEs nicht, sodass Betreiber beim Einspielen eventuell nicht wussten, dass sie Sicherheitslücken schließen.

Die wichtigsten Schwachstellen:

CVE-2026-84295 – Improper Authentication (Critical, CVSS 10,0): Fehlerhafte Authentifizierung (CWE-287) in Verbindung mit unzureichend geschützten Zugangsdaten (CWE-522). Ein nicht authentifizierter Angreifer kann aus der Ferne an sensible Informationen gelangen, einschließlich Administrator-Zugangsdaten. CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – über das Netzwerk erreichbar, geringe Komplexität, ohne Account und ohne Benutzerinteraktion ausnutzbar.
CVE-2026-90868 – OS Command Injection (Critical, CVSS 9,9): Einschleusen von Shell-Operatoren und Ausführung beliebiger Befehle (CWE-78 / CWE-88). Setzt einen Account mit niedrigen Rechten auf dem Server voraus (PR:L); laut Progress nur „unter bestimmten Konfigurationen“.
CVE-2026-90863 / -90864 / -90866 (je Critical, CVSS 9,1): Ein delegierter Host-Administrator kann seinen autorisierten Bereich überschreiten; zwei davon können zu Befehlsausführung bzw. Remote Code Execution führen.
CVE-2026-90865 – Command Injection (Critical, CVSS 9,0): Command Injection über FTP-Benachrichtigungsvariablen, hohe Komplexität, nur bestimmte Konfigurationen.
CVE-2026-90867 – Improper Access Control (High, CVSS 8,1): Fehlende Zugriffskontrolle in der Web-Admin-Konsole.

Weitere behobene Schwachstellen mit Schweregrad „High“ bis „Medium“ betreffen u. a. Path Traversal im Ad Hoc Transfer (CVE-2026-84294, 7,7; CVE-2026-90871, 5,3), einen pre-authentication SSH Denial of Service (CVE-2026-90869, 7,5), MFA-Bypässe bei SSH (CVE-2026-84296, 6,8) und im Web Transfer Module (CVE-2026-90862, 4,3), Passwort-Offenlegung über Aktivitätslogs (CVE-2026-90861, 6,6) sowie Server-Side Script Injection in der Manager-Web-UI (CVE-2026-90872, 6,6).

Bei erfolgreicher Ausnutzung von CVE-2026-84295 können Administrator-Zugangsdaten ohne Anmeldung ausgelesen werden, was eine weitergehende Kompromittierung des Servers ermöglicht. Da WS_FTP Server häufig für den Dateiaustausch mit Kunden, Lieferanten und Dienstleistern eingesetzt wird, betrifft dies auch die Lieferkette.

TI - CVE-2026-111497 - Node.js - Brotli Remote Code Execution / TLS-Validation

SOC Austria — Fri, 23 Oct 2026 12:14:50 GMT

Beschreibung:

Das Node.js-Projekt veröffentlichte am 21.10.2026 die Versionen 22.23.4, 24.22.1 und 26.12.1. Diese beheben insgesamt 10 Schwachstellen. Vier davon stuft das Node.js-Projekt mit Schweregrad „High” ein.

CVE-2026-111497 - Remote Code Execution im Brotli-Decoder (High): Der in Node.js mitgelieferte Brotli-Decoder schreibt bei fehlerhaft aufgebauten Eingabedaten außerhalb des vorgesehenen Speicherbereichs. Verarbeitet ein Node.js-Prozess Brotli-komprimierte Daten aus einer nicht vertrauenswürdigen Quelle, können Angreifende Speicherinhalte auslesen oder beliebigen Code ausführen. Die Ausnutzung ist naheliegend, weil fetch() und Express 5 Brotli-komprimierte Inhalte automatisch dekomprimieren.
CVE-2026-106069 und CVE-2026-105483 - Umgehung der TLS-Hostname-Prüfung (High): Ziele, die wie eine IP-Adresse aussehen, können die Zertifikatsprüfung fälschlich bestehen. Bei CVE-2026-105483 ist die IP-Adresse dafür in Unicode-„Fullwidth”-Ziffern geschrieben.
CVE-2026-105482 - Kürzung von Namen in dns.resolve (High): Enthält ein Name ein NUL-Zeichen, wird er an dieser Stelle abgeschnitten.

Weitere behobene Schwachstellen mit Schweregrad „Medium” betreffen die Verarbeitung von Antworten auf Keep-Alive-Sockets (CVE-2026-105481) und die Zertifikatsprüfung bei nicht-kanonischen IPv4-Adressen (CVE-2026-106072). Außerdem werden die Zufallswerte von crypto.randomUUID() und randomInt() in Startup-Snapshots und Single-Executable-Applications (SEA) mitgespeichert, sodass jeder Prozess dieselben Werte erzeugt (CVE-2026-106074). Drei Schwachstellen mit Schweregrad „Low” betreffen ZipFile und das Permission Model.

Das Release aktualisiert zudem den in Node.js fest eingebauten Root-CA-Speicher. Anlass ist die Kompromittierung von acht Zwischenzertifikaten der Zertifizierungsstelle eMudhra (emSign G3), die am 17.10.2026 bekannt wurde. Deren private Schlüssel waren so schwach, dass sie sich trivial berechnen ließen. Damit lassen sich vertrauenswürdige Zertifikate für beliebige Domains ausstellen. Node.js verwendet standardmäßig nicht den Zertifikatsspeicher des Betriebssystems und prüft keine Sperrlisten (CRL/OCSP). Die Sperrung der Zertifikate durch eMudhra wirkt sich daher auf Node.js-Anwendungen erst mit dem Update aus.

Bei erfolgreicher Ausnutzung von CVE-2026-111497 wird der Code mit den Rechten des Benutzerkontos ausgeführt, unter dem der Node.js-Prozess läuft.

Fortinet Security Hardening Release für FortiOS, FortiManager, FortiAnalyzer, FortiMail und FortiAuthenticator

SOC Austria — Fri, 23 Oct 2026 11:49:35 GMT

Beschreibung:

Fortinet hat am 21.10.2026 eine koordinierte Sicherheitsankündigung für mehrere Kernprodukte veröffentlicht und fordert Kunden auf, die bereitgestellten Updates umgehend einzuspielen. Laut Hersteller beheben die Updates mehrere kritische und hochriskante Schwachstellen, welche im Rahmen eines KI-gestützten Secure-by-Design-Programms identifiziert wurden. Technische Details, CVEs und CVSS-Werte wurden bislang nicht veröffentlicht und sollen erst im Rahmen der nächsten PSIRT-Veröffentlichung offengelegt werden. Fortinet empfiehlt ausdrücklich eine priorisierte Behandlung außerhalb regulärer Wartungszyklen, insbesondere für internetexponierte Systeme.