Progress MOVEit Transfer: Lokale Rechteerweiterung durch falsche Berechtigungen
Zusammenfassung
Eine Schwachstelle in MOVEit Transfer vergibt falsche Berechtigungen für eine kritische Ressource: Ein Dienstverzeichnis ist für lokale Benutzer beschreibbar. Ein Angreifer mit einem lokalen Konto mit niedrigen Privilegien kann seine Rechte erweitern und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit erzielen. Der Angreifer benötigt zuerst lokalen Zugriff, etwa über eine andere Schwachstelle oder gestohlene Zugangsdaten, weshalb die Lücke allein nicht aus der Ferne ausnutzbar ist.
Betroffen
- MOVEit Transfer vor 2025.1.6
- MOVEit Transfer 2026.0.0 vor 2026.0.4
- Gemäss Herstellerbulletin sind der Zweig 2025.0.8 und früher sowie 2025.1.0 bis 2025.1.5 und 2026.0.0 bis 2026.0.3 betroffen.
Behoben in
- Aktualisierung auf MOVEit Transfer 2025.1.6 oder 2026.0.4 (Herstellerbulletin, September 2026).
- Für den Zweig 2025.0.8 und früher gibt es keinen Patch; eine Migration auf eine unterstützte aktive Version ist erforderlich.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Die Aktualisierung ist die Massnahme.
Ausnutzung
- Progress hat im geprüften Bulletin-Text keine Ausnutzung in freier Wildbahn gemeldet.
- Die SSVC-Daten von CISA führen die Ausnutzung als keine und die Automatisierbarkeit als nein.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Die Aufnahme in den KEV-Katalog von CISA ist nicht verifiziert.
Unsere Empfehlung
- Das vollständige Sicherheitsbulletin von Progress vom September 2026 auf 2025.1.6 oder 2026.0.4 einspielen, nicht nur diese CVE.
- Aus dem Internet erreichbare Instanzen priorisieren, da dasselbe Bulletin Schwachstellen mit Ausnutzung aus der Ferne enthält.
- Systeme mit Version 2025.0.8 oder früher identifizieren und eine Migration planen.
- Bis zur Behebung lokale Konten, Anmelderechte sowie Datei- und Verzeichnisberechtigungen auf MOVEit-Servern überprüfen.
- Auf ungewöhnliche lokale Anmeldungen und Änderungen an Dienstverzeichnissen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MOVEit Transfer Critical Security Bulletin, September 2026 community.progress.com
- OpenCVE: CVE-2026-87093 app.opencve.io
- Positive Technologies: PT-2026-114312 vulners.com
- Strix AI: CVE-2026-87093 www.strix.ai
- GBHackers: MOVEit Transfer security flaws gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.