Progress - CVE-2026-89067
Date de publication :
Il s’agit d’une vulnérabilité dans MOVEit Transfer, la solution de transfert de fichiers de Progress Software.
MOVEit Transfer est une solution de transfert de fichiers managé (MFT) éditée par Progress Software. Elle sert à échanger des fichiers entre systèmes, partenaires et utilisateurs par SFTP, SCP ou HTTPS. Elle existe en version à installer sur site et en version cloud (MOVEit Cloud).
Le défaut se situe dans le contrôle d’authentification. Un chemin ou canal alternatif échappe au contrôle appliqué au chemin d’accès normal. L’attaque s’effectue à distance par le réseau. Elle exige un compte à faibles privilèges et aucune interaction utilisateur. La complexité d’attaque est faible. Le détail technique n’est pas publié par l’éditeur. Douze vulnérabilités sont corrigées par les mêmes versions. Le bulletin Progress cite pour l’ensemble du lot un risque de détournement de session, de perte de données, d’interruption de service et de prise de contrôle administrative.
Elle permet à un attaquant distant de contourner l’authentification et d’avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-288 : Authentication Bypass Using an Alternate Path or Channel
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
MOVEit Transfer versions 2025.0.8 et antérieures (versions qui ne sont plus supportées, le bulletin impose de passer à une version active)
- MOVEit Transfer versions 2025.1.0 jusqu’à 2025.1.5
- MOVEit Transfer versions 2026.0.0 jusqu’à 2026.0.3
Solutions ou recommandations
• Branche 2026.0.x : MOVEit Transfer versions 2026.0.4 et supérieures
• Versions 2025.0.8 et antérieures : migrer vers une version active et corrigée (2025.1.6 ou 2026.0.4 et supérieures)