WS_FTP Server : deux failles critiques exposent les mots de passe admin (CVE-2026-84295, CVE-2026-90868)

Le 29 octobre 2026, Progress Software a rendu publics les identifiants CVE-2026-84295 et CVE-2026-90868, deux vulnérabilités critiques dans WS_FTP Server, son serveur de transfert de fichiers pour Windows. La première obtient la note maximale de CVSS 10/10 : un attaquant non authentifié peut récupérer les mots de passe administrateur du serveur WS_FTP sans disposer d'aucun accès préalable. La seconde, notée CVSS 9,9/10, permet l'exécution de commandes système sur le serveur Windows dans certaines configurations. Au total, sept CVE ont été publiées pour WS_FTP Server dans ce lot d'octobre 2026. Si vous utilisez WS_FTP Server sur un VPS Windows ou un serveur dédié pour transférer des fichiers, la mise à jour est urgente.

Source : advisories CVE publiés par Progress Software le 29 octobre 2026 (analyse Censys).

CVE-2026-84295 et CVE-2026-90868 : ce que ça change pour un admin

CVE-2026-84295 est un défaut d'authentification (CWE-287 Improper Authentication, CWE-522 Insufficiently Protected Credentials). Un endpoint du serveur web d'administration de WS_FTP Server expose les identifiants, nom d'utilisateur et mot de passe administrateur compris, à toute personne capable d'envoyer une requête HTTP au serveur. Aucun login, aucun jeton, aucun accès préalable n'est nécessaire. Une fois le nom d'utilisateur et le mot de passe récupérés, l'attaquant distant dispose d'un accès complet à la configuration du serveur FTP : comptes utilisateurs, répertoires partagés, certificats TLS et paramètres réseau.

CVE-2026-90868 est une injection de commande système (CWE-78 OS Command Injection). Dans certaines configurations, un utilisateur authentifié peut injecter des commandes dans un paramètre traité par le serveur, qui les exécute avec les privilèges du service WS_FTP sous Windows. Le shell système (cmd.exe ou PowerShell) exécute alors la commande injectée avec les droits du compte de service, souvent configuré avec des privilèges élevés. Combinée à CVE-2026-84295, cette faille transforme une connexion réseau distante non authentifiée en exécution de code arbitraire sur le serveur.

Tableau des vulnérabilités corrigées

Le lot d'octobre 2026 regroupe sept CVE pour WS_FTP Server. Les deux plus critiques sont détaillées ci-dessus. Voici le tableau complet :

La version 2024.0.7 (branche 2024) et la version 2025.0.4 (branche 2025) corrigent l'ensemble des sept vulnérabilités. La version 2024.0.6 / 2025.0.3, publiée le 3 septembre 2026, ne corrige que CVE-2026-84295. Pour couvrir toutes les failles, il faut installer au minimum la version 2024.0.7 ou 2025.0.4, publiées le 1er octobre 2026.

Installer et administrer WS_FTP Server sous Windows

WS_FTP Server est un serveur de transfert de fichiers commercial édité par Progress Software (anciennement Ipswitch). Il s'installe exclusivement sous Windows Server : installer ce serveur sur un serveur virtuel Windows (VPS) ou un serveur dédié permet d'administrer les connexions de transfert de fichiers entrants et sortants via les protocoles FTP, FTPS (FTP sur TLS), SFTP (transfert via SSH) et HTTPS.

Le service WS_FTP écoute sur les ports TCP suivants :

L'administrateur configure WS_FTP Server depuis la console Web Admin, un serveur web intégré accessible par navigateur. Cette interface permet de créer des noms d'utilisateur, de configurer les répertoires de transfert, d'activer ou de désactiver les protocoles, de gérer les certificats TLS et de consulter les journaux de connexion. C'est cette console d'administration qui est directement exposée par CVE-2026-84295 : si elle est accessible depuis un réseau distant, un attaquant peut récupérer le nom d'utilisateur et le mot de passe administrateur sans authentification.

Qui est concerné

WS_FTP Server ne fonctionne que sous Windows Server. Il est installé sur des serveurs virtuels (VPS) et des serveurs dédiés physiques pour administrer les transferts de fichiers. Si vous avez installé WS_FTP Server sur votre VPS Windows, vous êtes directement concerné.

Les environnements typiquement exposés :

• VPS Windows avec WS_FTP Server : un serveur virtuel Windows utilisé comme serveur de transfert pour partager des fichiers avec des clients ou synchroniser des répertoires entre machines distantes. Les ports TCP d'écoute (21 pour FTP, 22 pour SFTP via SSH, 443 pour HTTPS) sont ouverts sur Internet.
• Serveur dédié Windows : un serveur physique ou une VM sous Windows Server hébergeant WS_FTP Server pour les transferts de fichiers internes ou externes.
• Console Web Admin accessible à distance : si le serveur web d'administration est joignable depuis Internet, CVE-2026-84295 permet à n'importe qui de récupérer les identifiants administrateur. Cette console ne devrait jamais être configurée sans restriction d'accès réseau par le firewall.

Si vous n'utilisez pas WS_FTP Server (FileZilla Server, OpenSSH pour Windows ou le serveur SFTP intégré à Windows Server), ces CVE ne vous concernent pas. Sur un VPS Linux, les serveurs FTP courants (vsftpd, ProFTPD) ne sont pas affectés par ces vulnérabilités ; notre guide sur les failles historiques de ProFTPD et BIND couvre les vulnérabilités spécifiques à ces services.

Vérifier votre version de WS_FTP Server

Pour savoir si votre installation est vulnérable, connectez-vous à votre VPS Windows en Bureau à distance (RDP). Ouvrez la console d'administration WS_FTP Server Manager. Le numéro de version s'affiche sur la page d'accueil ou dans le menu Help, About.

Vous pouvez aussi vérifier la version installée en ligne de commande depuis un shell PowerShell :

Get-CimInstance Win32_Product | Where-Object { $_.Name -like "*WS_FTP*" } | Format-List Name, Version

Si la version affichée est antérieure à 2024.0.7 (branche 2024.x) ou à 2025.0.4 (branche 2025.x), votre serveur est vulnérable aux sept CVE publiées en octobre 2026. Si elle est antérieure à 2024.0.6 / 2025.0.3, la faille la plus critique (CVE-2026-84295, mots de passe exposés) est aussi présente.

Mettre à jour WS_FTP Server

Progress Software distribue les correctifs sous forme d'installateurs depuis son portail client. La procédure de mise à jour sur un VPS Windows sécurisé :

1. Connectez-vous en RDP à votre serveur Windows. Si votre accès RDP est bloqué, consultez notre guide débloquer un VPS Windows dont le port RDP est bloqué.
2. Avant la mise à jour, effectuez un backup complet : configuration de WS_FTP Server (fichier de config, base de données interne, certificats TLS) et données de transfert. Le répertoire d'installation se trouve par défaut dans C:\Program Files (x86)\Ipswitch\WS_FTP Server\. Pour une stratégie de sauvegarde automatisée, consultez notre guide sauvegardes et haute disponibilité pour serveur dédié.
3. Téléchargez l'installateur de la version 2024.0.7 ou 2025.0.4 depuis le portail Progress (compte client requis).
4. Arrêtez le service WS_FTP Server depuis la console Services (services.msc) ou en ligne de commande PowerShell : Stop-Service "WS_FTP Server".
5. Exécutez l'installateur. L'upgrade conserve la config existante : comptes, noms d'utilisateur, répertoires configurés et certificats.
6. Redémarrez le service : Start-Service "WS_FTP Server".
7. Vérifiez le numéro de version dans la console Web Admin et testez qu'une connexion FTP ou SFTP fonctionne depuis un poste distant.

Configurer le firewall Windows pour protéger WS_FTP

La mise à jour corrige les failles connues, mais la configuration du firewall Windows est indispensable pour réduire la surface d'attaque. Par défaut, installer WS_FTP Server sous Windows ouvre les ports TCP nécessaires aux transferts, mais la console Web Admin reste souvent accessible depuis n'importe quelle adresse IP distante. Configurez des règles de firewall pour restreindre l'accès à la console d'administration tout en conservant les connexions de transfert autorisées.

Depuis un shell PowerShell avec des droits d'administrateur, créez une règle pour limiter l'accès à la console Web Admin aux seules adresses IP configurées :

# Autoriser la console Web Admin pour les IP d'administration
New-NetFirewallRule -DisplayName "WS_FTP Admin - IP autorisees" `
  -Direction Inbound -Protocol TCP -LocalPort 443 `
  -RemoteAddress 203.0.113.50,198.51.100.10 `
  -Action Allow -Profile Any

# Bloquer les autres connexions entrantes sur le port TCP 443
New-NetFirewallRule -DisplayName "WS_FTP Admin - Bloquer autres" `
  -Direction Inbound -Protocol TCP -LocalPort 443 `
  -Action Block -Profile Any

Adaptez les adresses IP (RemoteAddress) à vos postes d'administration. Si la console Web Admin est configurée sur un port TCP différent, modifiez LocalPort. Pour les ports de transfert FTP (TCP 21) et SFTP via SSH (TCP 22), vous pouvez activer des règles similaires si seuls des partenaires connus doivent se connecter à votre serveur. Notre guide sécuriser un VPS Windows Server (RDP et pare-feu) détaille la configuration complète du firewall Windows Defender.

Mesures complémentaires pour sécuriser WS_FTP

Au-delà de la mise à jour et de la configuration du firewall, ces mesures permettent d'administrer votre serveur WS_FTP de manière plus sécurisée :

• Désactiver les protocoles non utilisés : si vous n'utilisez que SFTP (transfert via SSH), désactivez FTP et FTPS dans la config de WS_FTP Server pour ne laisser ouvert que le port TCP 22. Moins de ports ouverts sur le serveur virtuel, moins de surface d'attaque.
• Activer l'authentification par clé SSH pour SFTP : plutôt que des mots de passe, configurez l'authentification par clé publique SSH dans les propriétés de chaque nom d'utilisateur SFTP. Un mot de passe volé via CVE-2026-84295 ne servira à rien si le compte exige une clé SSH pour la connexion distante.
• Vérifier les journaux de connexion : WS_FTP Server journalise les connexions dans l'Observateur d'événements Windows et dans ses propres fichiers de log. Après la mise à jour, recherchez les connexions suspectes à la console Web Admin depuis des adresses IP inconnues.
• Changer les mots de passe : si votre version était antérieure à 2024.0.6 / 2025.0.3, le nom d'utilisateur et le mot de passe administrateur ont pu être exposés. Changez immédiatement le mot de passe de chaque compte configuré dans WS_FTP et de tout compte Windows dont le mot de passe aurait été réutilisé.
• Planifier un backup régulier : sauvegardez la config de WS_FTP Server (fichiers de configuration, base de données interne, certificats TLS) et les données de transfert. En cas de compromission, un backup récent permet de restaurer un serveur propre rapidement.
• Maintenir Windows Server à jour : les failles WS_FTP s'ajoutent aux vulnérabilités du système d'exploitation. Appliquez les correctifs du Patch Tuesday chaque mois sur votre VPS Windows.

Chronologie

Aucune exploitation active n'a été signalée au 29 octobre 2026. Cependant, WS_FTP Server a déjà été la cible d'attaques massives après la publication de CVE-2023-40044 en septembre 2023 : des preuves de concept publiques circulaient dans les 48 heures suivant la divulgation, et l'exploitation active en conditions réelles a été confirmée par Rapid7 trois jours après la publication de l'advisory. La fenêtre entre la publication d'une CVE et les premières tentatives d'exploitation se compte souvent en jours.

Questions fréquentes

Retrouvez ci-dessous les réponses aux questions les plus courantes des administrateurs de serveurs Windows concernant les failles WS_FTP Server d'octobre 2026.

Conclusion

Avec une note CVSS de 10/10, CVE-2026-84295 est l'une des failles les plus critiques publiées en octobre 2026 pour les serveurs Windows. Un serveur WS_FTP non mis à jour expose le nom d'utilisateur et le mot de passe administrateur sans aucune authentification. Combinée à CVE-2026-90868 (injection de commande, CVSS 9,9), elle donne à un attaquant distant un accès complet au système. Les correctifs sont disponibles depuis le 1er octobre 2026 dans les versions 2024.0.7 et 2025.0.4. Si vous administrez un VPS Windows ou un serveur virtuel avec WS_FTP Server installé, vérifiez votre version et mettez à jour sans délai. Configurez le firewall Windows pour restreindre l'accès à la console Web Admin et activez l'authentification par clé SSH pour les connexions SFTP distantes.