Progress Software merilis perbaikan untuk 15 kerentanan di WS_FTP Server, perangkat lunak server transfer berkas yang berjalan di Windows. Tambalan keluar pada 29 Oktober 2026. Satu celah, CVE-2026-84295, mendapat skor CVSS 10,0, nilai tertinggi dalam skala tersebut. Menurut laporan Daily CyberSecurity, enam dari 15 celah berstatus kritis, tiga tinggi, dan enam menengah.
Celah yang paling berbahaya
CVE-2026-84295 berupa autentikasi yang tidak tepat. Penyerang jarak jauh yang belum login bisa mengakses informasi sensitif, termasuk kredensial administrator. Vektor penilaiannya tidak membutuhkan hak akses maupun interaksi pengguna, itu sebabnya skornya mentok di 10,0. Dua celah lain dari rilis yang sama, CVE-2026-84294 (CVSS 7,7, path traversal) dan CVE-2026-84296 (CVSS 6,8, bypass autentikasi), juga memengaruhi versi sebelum 2024.0.6 dan 2025.0.3.
Dua belas celah sisanya memengaruhi versi sebelum 2024.0.7 dan 2025.0.4. Yang tertinggi adalah CVE-2026-90868 (CVSS 9,9), injeksi perintah sistem operasi oleh pengguna berhak rendah. Ada pula empat celah dengan skor antara 9,0 dan 9,1, yakni CVE-2026-90863, CVE-2026-90864, CVE-2026-90865, dan CVE-2026-90866, serta CVE-2026-90867 (CVSS 8,1).
Status serangan
Daily CyberSecurity menyatakan belum ada eksploitasi aktif yang dikonfirmasi dan belum ada kode bukti konsep yang dipublikasikan. CVE-2026-84295 juga belum masuk katalog celah yang dieksploitasi milik CISA, dan basis data kerentanan Strix mencatat peluang eksploitasi 30 hari menurut EPSS hanya 0,55 persen. Status analisis NVD untuk celah ini masih menunggu.
Satu catatan: laporan yang kami baca tidak merinci versi terdampak per celah dengan rapi, dan Strix menyebut versi perbaikan CVE-2026-84295 tidak tertulis eksplisit di halamannya. Cocokkan nomor versi Anda dengan advisori resmi Progress sebelum menutup tiket.
Langkah yang perlu diambil pembaca
Administrator WS_FTP Server perlu memperbarui ke versi 2024.0.7 atau 2025.0.4, atau rilis perbaikan setara, melalui portal resmi Progress. Bila pembaruan belum bisa dijadwalkan dalam waktu dekat, Progress menyarankan membatasi akses konsol administrasi web hanya dari jaringan internal. Periksa juga apakah antarmuka web server berkas Anda terbuka ke internet tanpa perlu, dan tinjau log login administrator beberapa minggu terakhir untuk akses yang tidak dikenal. Bila ada kecurigaan, ganti kata sandi akun administrator setelah pembaruan terpasang.
Bagi organisasi di Indonesia yang memakai WS_FTP untuk pertukaran berkas dengan mitra atau vendor, celah berskor 10,0 pada layanan yang terhubung ke internet layak mendapat prioritas di atas pekerjaan rutin.
Sumber: Daily CyberSecurity dan Strix (CVE-2026-84295). Gambar: Daily CyberSecurity.