Na virada de julho de 2025, foi detectada exploração ativa de uma vulnerabilidade crítica de execução remota de código (RCE) no Wing FTP Server. Ataques começaram apenas um dia após a divulgação pública dos detalhes técnicos, deixando inúmeros servidores expostos.
Pesquisador Julien Ahrens revelou em 30 de junho a falha CVE‑2025‑47812, que mistura injeção de byte nulo com código Lua e aproveita falha no tratamento de strings nulas em C++ e sanitização incorreta em Lua
Hackers maliciosos já exploram essa brecha para criar contas, persistência no sistema e executar comandos com privilégios root/SYSTEM, baixando malware via certutil ou cURL
A vulnerabilidade afeta Wing FTP versões até 7.4.3; a correção foi lançada em 14 de maio de 2025 na versão 7.4.4, exceto para um segundo problema menos grave (CVE‑2025‑47811)
Além disso, foram identificadas outras três falhas associadas: exfiltração de senhas via URL (CVE‑2025‑27889), execução como root/SYSTEM sem sandbox (CVE‑2025‑47811) e exposição de caminhos do sistema por cookie (CVE‑2025‑47813)
Relatório da Huntress confirmou ataques reais a partir de 1º de julho, com múltiplos IPs escaneando e usando payloads maliciosos executados via cmd.exe, embora alguns tenham sido interrompidos por Defender
Dica de prevenção
-
Atualize imediatamente para o Wing FTP Server versão 7.4.4 ou superior.
-
Se não for possível atualizar, restrinja acesso ao portal HTTP/S, desative logins anônimos e monitore o diretório de sessões por arquivos .lua suspeitos.
-
Aplique camadas extras de filtragem em uploads ou parâmetros de nome de usuário, bloqueando bytes nulos.
-
Faça auditorias regulares de segurança, incluindo verificações de integridade do sistema e análise de logs.
Esta vulnerabilidade em Wing FTP Server destaca como falhas simples — como tratamento inadequado de strings — podem acarretar invasões graves com controle total do servidor. A atualização imediata é crítica. Na LC SEC, ajudamos desde a aplicação de patches e endurecimento de acesso até auditorias contínuas e monitoramento ativo para proteger sua infraestrutura. Entre em contato e garanta a segurança dos seus ambientes: lcsec.io
Compartilhe nas redes sociais:
