つみかさね

CVE-2026-115338

High(8.1)

Progress WS_FTP Serverの通信保護不備 CVE-2026-115338：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
WS_FTP ServerProgress Software< 2025.0.5

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1WS_FTP Serverのバージョンが2025.0.5より前か確認する
  2. 22025.0.5以降へアップデートする
  3. 3アップデートが困難な場合は暗号化プロトコル（FTPS/SFTP）のみを許可し平文FTPを無効化する

影響対象

WS_FTP Serverでファイル転送を行う組織

対応不要な人

  • ✓WS_FTP Serverを使用していない
  • ✓2025.0.5以降の修正済みバージョンを使用中
  • ✓暗号化接続のみを許可し平文接続を無効化している

補足

  • -非暗号化接続を許可していない環境ではリスクが相対的に低くなります
CVEWS_FTP ServerProgress通信保護不備中間者攻撃

30秒で判断

  • 対応すべき人: Progress Software社のファイル転送製品「WS_FTP Server」を2025.0.5より前のバージョンで運用し、非暗号化接続（平文FTP等）を許可している管理者
  • 対応不要な人: WS_FTP Serverを使用していない、または2025.0.5以降の修正済みバージョンを使用し暗号化接続のみを許可している環境
  • 確認コマンド: WS_FTP Server管理コンソールでバージョン情報とリスナー設定（暗号化必須かどうか）を確認

概要

CVE-2026-115338は、Progress WS_FTP Serverにおける通信保護不足（Insufficient Protection of Communications）の脆弱性です。非暗号化接続が使用されている場合、ネットワーク上の攻撃者が通信内容を傍受したり、リクエストを改ざんしたりできる可能性があります。CWE-319（平文での機密情報送信）とCWE-345（データ認証の不十分性）の両方に関連するとされています。

WS_FTP Serverは企業間のファイル転送用途で広く使われる製品です。暗号化されていない接続を許可する構成のまま運用している場合、同一ネットワーク上または経路上の攻撃者によって転送データの機密性・完全性が損なわれるリスクがあります。

CVSSベクトル

項目値
CVSSスコア8.1 (High)
CVSSバージョン3.1
深刻度High
攻撃元ネットワーク
脆弱性の種類平文通信・データ認証不十分（CWE-319 / CWE-345）

影響を受けるソフトウェア

製品ベンダー影響バージョン
WS_FTP ServerProgress Software< 2025.0.5

修正バージョンと回避策

Progress社はWS_FTP Serverの2026年11月分のサービスパックとして本脆弱性の修正を提供しています。2025.0.5以降への更新を推奨します。

アップデートが難しい場合は、FTPSやSFTPなどの暗号化プロトコルのみを許可するようリスナー設定を見直し、平文FTP接続を無効化することが有効な緩和策となります。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-115338
Progress Community:https://community.progress.com/s/article/WS-FTP-Server-Service-Pack-November-2026
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。