Progress Software - CVE-2026-89067
Date de publication :
Il s’agit d’une vulnérabilité dans la fonctionnalité de messagerie sécurisée (Secure Messaging) de Progress MOVEit Transfer.
MOVEit Transfer est une solution de transfert de fichiers managé (MFT) éditée par Progress. Elle gère l’échange de fichiers entre utilisateurs et systèmes, avec prise en charge de SFTP et de l’authentification LDAP ou OIDC. Elle est également proposée en service cloud (MOVEit Cloud).
Le défaut est un contournement d’authentification par un chemin ou un canal alternatif. Un attaquant distant qui possède un compte à faibles privilèges l’exploite sans interaction d’un utilisateur. Progress ne publie aucun détail technique supplémentaire sur le mécanisme.
Elle permet un accès non autorisé au serveur MOVEit Transfer, avec un impact élevé sur la confidentialité, l’intégrité et la disponibilité des données.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-288 : Authentication Bypass Using an Alternate Path or Channel
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
MOVEit Transfer 2026.0 (18.0) versions 2026.0.0 jusqu’à 2026.0.3 (18.0.0 jusqu’à 18.0.3).
- MOVEit Transfer 2025.1 (17.1) versions 2025.1.0 jusqu’à 2025.1.5 (17.1.0 jusqu’à 17.1.5).
- MOVEit Transfer 2025.0 (17.0) versions 2025.0.8 et antérieures (17.0.8 et antérieures)
Solutions ou recommandations
• MOVEit Transfer 2025.1 : versions 2025.1.6 et supérieures.
• MOVEit Transfer 2025.0 et antérieures : migration obligatoire vers une version active et corrigée.