Progress Software, ShareFile müşterilerine Storage Zone Controller çalıştıran Windows sunucularını kapatmaları talimatını verdi. Şirket, The Hacker News'e yaptığı açıklamada 'güvenilir bir dış güvenlik tehdidine' yanıt verdiğini doğruladı. Etkilenen hesaplara geçici olarak erişim engellenirken, bu adımın 'aşırı önlem' olarak atıldığı belirtildi. Progress, herhangi bir ShareFile hesabına veya verisine yetkisiz erişim olduğuna dair bir kanıt bulunmadığını ve tehdidi öğrendikten sonra müşterilerini bilgilendirdiğini ifade etti. Ancak tehdidin ne olduğu veya arkasında kimin olduğu konusunda henüz bir açıklama yapılmadı.
Kapatma emri, bir müşterinin şirketin e-postasını 10 Temmuz'da Reddit'in r/sysadmin sayfasında paylaşmasıyla kamuoyuna duyuruldu. Progress, durum sayfasında Storage Zone Controller müşterilerini 'çalışmıyor' olarak listeledi ve olayın 12:12 EDT güncellemesi itibarıyla soruşturma altında olduğunu belirtti. Sadece Storage Zone Controller etkilenirken, standart bulut tabanlı ShareFile hesapları etkilenmedi. Controller, şirketin kendi çalıştırdığı bir sunucu olduğu için dosyalar kendi depolamasında kalırken, ShareFile'ın bulutunu dosya paylaşımı ve yönetimi için kullanabiliyor.
Controller genellikle ağın ucunda, internetten erişilebilir durumda bulunuyor. Bu durum onu hem kullanışlı hem de hedef haline getiriyor. Müşterilere sadece yama yapmalarını söylemek yerine, sunucuyu tamamen çevrimdışına almalarını istemek dikkat çekici bir adım. Bu tercih, tehdit için bir düzeltme mevcut olsaydı Progress'in müşterilere bunu uygulamalarını söyleyeceği anlamına geliyor. Kapatma emri, henüz bir düzeltme olmadığını gösteriyor. Bu genellikle yeni keşfedilmiş ve şirketin kapatmak için yarıştığı bir açığı işaret ediyor, ancak aynı adım bir yamanın çözemeyeceği çalınmış anahtarlar veya Progress'in kendi tarafındaki bir sorun gibi tehditlere de uyabilir.
Progress'in hiçbir hesaba veya veriye yetkisiz erişim olmadığı açıklaması da dikkatli bir ifade. Bu, controller'ların kendisinde sorun olmadığı anlamına gelmiyor. Şu an için yapılması gerekenler: Öncelikle kapatma emrine uyun. Etkilenen controller'ları, Progress tehdidin ne olduğunu ve yeniden başlatmanın güvenli olduğu zamanı söyleyene kadar çevrimdışı tutun. Ayrıca, sürümünüzü güncelleyin: 5.x hattında 5.12.4 veya sonrası, ya da 6.x sürümü. Bu, bu yılın başlarında düzeltilen açıkları kapatır, ancak Progress mevcut tehdidi temizlediğini söylemediği için yeniden başlatma izni olarak kabul etmeyin. Bir controller internetten erişilebilir durumdaysa, olası bir olay olarak ele alın. Günlükleri koruyun ve olay müdahale sürecinizi başlatın, ardından web klasörlerinde ve sizin ayarlamadığınız depolama yollarında tanımadığınız .aspx dosyalarını kontrol edin. Temiz görünen bir sunucu, temiz olduğu anlamına gelmez.
ShareFile daha önce de benzer bir durumla karşılaştı. 2023'te, ürün hala Citrix'e aitken, saldırganlar aynı Storage Zones Controller'daki kimlik doğrulamasız bir açıktan (CVE-2023-24489) yararlanmıştı. CISA bunu aktif olarak istismar edildi olarak işaretlemiş ve Citrix, yamasız controller'ları ShareFile bulutundan kesmişti. Progress, ShareFile'ı 2024'te satın almıştı ve daha önce kendi kitlesel dosya aktarım saldırısını atlatmıştı: MOVEit, 2023'te Clop grubu tarafından istismar edilen bir sıfır gün açığı ile 2.700'den fazla kuruluşu etkilemişti.
Storage Zones Controller, watchTowr tarafından Nisan ayında ifşa edilen ve Progress tarafından Mart ayında yamalanan iki kritik açığa da sahipti. Ancak şirket mevcut tehdidi bunlarla ilişkilendirmedi ve hiçbiri istismar edildi olarak raporlanmadı. Ana soru hala cevapsız: Progress bu sistemleri çevrimdışına aldı ve dış uzmanlarla çalışıyor, ancak tehdidin ne olduğunu veya müşterilerin ne zaman güvenle yeniden başlatabileceğini söylemedi.
Güncelleme: 14 Temmuz 2026: Progress, ShareFile Storage Zone Controller müşterileri için erişimi geri yükledi ve 10 Temmuz'da verdiği kapatma emrini kaldırdı. The Hacker News'e yaptığı açıklamada şirket, soruşturmasının Storage Zone Controller'da 5.x ve 6.x sürümlerini etkileyen yüksek önem dereceli bir güvenlik açığı tespit ettiğini belirtti. Müşterilere yamalı sürümler dağıtıldı ve yama uygulandığında etkilenen controller'ın çalışmaya döndüğü ifade edildi. Progress, herhangi bir ShareFile müşteri hesabına veya verisine yetkisiz erişim kanıtı bulunmadığını ve aktif bir tehdit tespit edilmediğini söyledi. Bu, 10 Temmuz emrinin arkasındaki 'güvenilir dış güvenlik tehdidinin' şirketin artık yamaladığı bir açık olduğunu ortaya koyuyor. Açıklamada tehdidin arkasında kimin olduğu veya bir CVE numarası belirtilmedi.
Kaynak: thehackernews.com
