Il 30 ottobre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato l’alert AL10/261030/CSIRT-ITA. Riguarda gli aggiornamenti di sicurezza rilasciati da Progress per WS_FTP Server, un software usato per trasferire, condividere e gestire file in modo sicuro all’interno delle organizzazioni e con partner esterni. Secondo l’alert le vulnerabilità corrette sono molteplici: sei hanno gravità “critica” e tre “alta”. L’impatto sistemico è valutato “Alto” (66.66).
Chi è coinvolto
Secondo l’alert sono interessate le installazioni di WS_FTP Server nelle seguenti versioni:
- WS_FTP Server 2025, versione 2025.0.3 (10.0.3) e precedenti;
- WS_FTP Server versione 2024.0.6 (9.0.6) e precedenti.
Le nove vulnerabilità con gravità critica o alta sono identificate dai codici CVE-2026-90869, CVE-2026-90868, CVE-2026-90867, CVE-2026-90866, CVE-2026-90865, CVE-2026-90864, CVE-2026-90863, CVE-2026-84295 e CVE-2026-84294. Un codice CVE è l’etichetta pubblica con cui viene catalogata una singola falla di sicurezza.
Che rischio c’è
L’alert classifica le vulnerabilità in sei tipologie. Alcune riguardano i file: la scrittura o la lettura arbitraria permette a chi sfrutta la falla di creare, modificare o leggere file sul server senza esserne autorizzato. Il bypass dell’autenticazione consente di superare il controllo di identità, cioè la richiesta di nome utente e password. L’esecuzione di codice da remoto significa che un aggressore può far eseguire comandi al server restando all’esterno della rete.
Le altre tipologie sono la divulgazione di informazioni, cioè la possibilità di accedere a dati che dovrebbero restare riservati, l’aggiramento delle restrizioni di sicurezza e il denial of service, un’interruzione del servizio che lo rende inutilizzabile.
Poiché WS_FTP Server serve a scambiare file con partner esterni, un server compromesso può esporre documenti anche sensibili. Nella tabella dell’alert, per nessuna delle nove vulnerabilità risultano indicati exploit dimostrativi pubblici o sfruttamento in corso.
Cosa fare
In linea con le dichiarazioni di Progress, il CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza del produttore, indicato nella sezione dei riferimenti dell’alert.
L’alert precisa un punto per chi usa versioni datate: per le versioni non più supportate il produttore non rilascerà alcun workaround, cioè una soluzione temporanea, né alcuna patch, cioè un aggiornamento correttivo. In questi casi la raccomandazione è passare a una versione supportata.
Due verifiche di buon senso possono completare il quadro:
- controllare quale versione di WS_FTP Server è installata e se è tra quelle elencate;
- avvisare il fornitore IT o il responsabile dei sistemi, se la gestione del server è affidata a terzi.
Fonte: alert AL10/261030/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 30 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
