- CISA adiciona o bug do Wing FTP Server (CVE-2025-47813) ao catálogo KEV
- A falha de gravidade média vaza caminhos de servidor que podem ser explorados em ataques em cadeia
- As agências federais foram obrigadas a corrigir ou parar de usá-lo até 30 de março
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou uma nova falha ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), alertando as agências federais dos EUA sobre ataques em andamento e exigindo correção imediata.
A organização adicionou CVE-2025-47813, uma falha encontrada no servidor Wing FTP, ao KEV.
Wing FTP Server é um servidor multiplataforma para compartilhamento e gerenciamento de arquivos com segurança, semelhante às soluções MOVEit ou GoAnywhere Managed File Transfer (MFT). De acordo com seu site, ele é usado por empresas como Força Aérea dos EUA, Airbus, Reuters e Sony.
O artigo continua abaixo
Prova de conceito
A falha é descrita em mensagens de erro como uma “vulnerabilidade de divulgação de informações” que pode expor dados confidenciais. Isso acontece porque o aplicativo manipula incorretamente o valor longo do cookie UID, resultando em uma mensagem de erro que revela o caminho completo da instalação local do servidor.
Foi dada uma pontuação de gravidade de 4,3/10 (média). Portanto, não é o mais crítico de todos os bugs, mas pode ser usado para reconhecimento e encadeado com outros bugs para lançar ataques mais sérios. Na verdade, é exatamente isso que está acontecendo na natureza neste momento.
de acordo com BipandoComputadorO pesquisador de segurança Julien Ahrens compartilhou um código de exploração de prova de conceito (PoC) no verão de 2025, insistindo que os invasores o estavam encadeando com uma falha separada, rastreada como CVE-2025-47812.
O bug afeta todas as versões do servidor Wing FTP anteriores a 7.4.4 e foi corrigido em maio de 2025. A mesma correção abordou dois bugs adicionais: uma vulnerabilidade crítica de execução remota de código (RCE) rastreada como CVE-2025-57812 e uma falha de divulgação de informações rastreada como CVE-2025-27889.
As agências do Poder Executivo Civil Federal (FCEB) agora têm duas semanas para corrigir o software, que termina em 30 de março. Caso contrário, poderão parar de usar o produto por completo.
“Este tipo de vulnerabilidade é um vetor de ataque frequente para ciberatores mal-intencionados e representa riscos significativos para as empresas federais”, disse a CISA. “Aplique mitigações de acordo com as instruções do fornecedor, siga as diretrizes BOD 22-01 para serviços em nuvem ou interrompa o uso do produto se as mitigações não estiverem disponíveis.”
O melhor antivírus para cada orçamento
Siga o TechRadar no Google Notícias e adicione-nos como sua fonte padrão para receber notícias, opiniões e opiniões de nossos especialistas em feeds. Certifique-se de clicar no botão Continuar!
E é claro que você também pode Siga o TechRadar no TikTok para receber novidades, análises, unboxings em formato de vídeo e receber atualizações constantes nossas WhatsApp também
