Progress ShareFile曝新漏洞 可组合实现未认证远程代码执行

企业级安全文件传输解决方案Progress ShareFile存在两处漏洞，攻击者可将其组合利用，在无需身份认证的情况下从受影响环境中窃取文件。Progress ShareFile是一款文档共享与协作产品，广泛应用于大中型企业。

此类文件传输平台历来是勒索软件团伙的重点攻击目标，此前Clop勒索组织就曾利用Accellion FTA、SolarWinds Serv-U、Gladinet CentreStack、GoAnywhere MFT、MOVEit Transfer、Cleo等产品中的漏洞实施大规模数据窃取攻击。

watchTowr的研究人员在Progress ShareFile 5.x分支的Storage Zones Controller（SZC，存储区域控制器）组件中，发现了一处认证绕过漏洞（CVE-2026-2699）和一处远程代码执行漏洞（CVE-2026-2701）。

存储区域控制器（SZC）允许用户将数据存储在自有基础设施（本地或第三方云）或Progress官方系统中，从而让客户对数据拥有更强的控制权。

在watchTowr完成负责任漏洞披露后，Progress已发布ShareFile 5.12.4版本，修复了上述问题。

攻击原理

watchTowr研究人员在最新发布的报告中介绍，整个攻击链首先利用CVE-2026-2699认证绕过漏洞。由于系统对HTTP重定向处理不当，攻击者可直接访问ShareFile管理后台界面。

获取权限后，攻击者可修改存储区域配置，包括文件存储路径、区域密钥及相关敏感安全参数。

随后，攻击者可利用第二个漏洞CVE-2026-2701，通过滥用文件上传与解压功能，将恶意ASPX网页后门放置在应用根目录，从而在服务器上实现远程代码执行。

研究人员指出，要成功利用漏洞，攻击者需要生成合法的HMAC签名，并提取和解密内部密钥。但在成功利用CVE-2026-2699之后，攻击者可设置或控制与密钥相关的配置项，上述步骤均可实现。

漏洞利用链概述

影响范围与暴露情况

根据watchTowr的扫描结果，约有3万个存储区域控制器实例暴露在公网。ShadowServer基金会监测到约700台可公网访问的Progress ShareFile实例，其中大部分位于美国和欧洲地区。

watchTowr于2月6日至13日期间发现这两处漏洞并上报给Progress公司，并于2月18日验证了完整攻击链可在ShareFile 5.12.4之前版本生效。厂商已于3月10日在5.12.4版本中推送安全更新。

截至本文发布，暂未发现野外在野利用行为。但由于漏洞细节已公开，极易吸引攻击者跟进利用，因此运行存在漏洞的ShareFile存储区域控制器版本的系统应立即安装补丁。