Progress MOVEit Transfer: Authentifizierungsumgehung in Secure Messaging
Zusammenfassung
Die MOVEit-Transfer-Versionen vor 2025.1.6 sowie ab 2026.0.0 vor 2026.0.4 enthalten eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal (CWE-288) in der Komponente Secure Messaging. Gemäss CVSS-Vektor kann ein entfernter Angreifer mit niedrigen Berechtigungen und ohne Benutzerinteraktion die Authentifizierung umgehen und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit verursachen. Progress hat den genauen Mechanismus nicht veröffentlicht; zum Zeitpunkt der Recherche wurden weder Ausnutzung in der Praxis noch ein öffentlicher Proof of Concept gemeldet.
Betroffen
- MOVEit Transfer vor 2025.1.6
- MOVEit Transfer 2026.0.0 bis vor 2026.0.4
- Gemäss den Recherchenotizen betrifft dies 2025.0.8 und älter, 2025.1.0 bis 2025.1.5 sowie 2026.0.0 bis 2026.0.3
Behoben in
- MOVEit Transfer 2025.1.6
- MOVEit Transfer 2026.0.4
- Installationen auf 2025.0.8 oder älter befinden sich nicht in einem korrigierten Zweig und müssen auf eine aktive, gepatchte Version aktualisiert werden.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Zwischen-Workaround gefunden. Der Hersteller empfiehlt die Aktualisierung auf eine korrigierte Version.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Progress hat zum Zeitpunkt der Recherche keine Ausnutzung in der Praxis gemeldet.
- Kein öffentlicher Proof of Concept bekannt. Der konkrete Umgehungsmechanismus ist nicht öffentlich.
- Die Entdeckung wird von Progress Leo Oliver (ssrfer) zugeschrieben.
Unsere Empfehlung
- Alle MOVEit-Transfer-Instanzen und deren genaue Versionen erfassen.
- Auf 2025.1.6 oder 2026.0.4 (oder eine neuere unterstützte Version) aktualisieren; zuerst öffentlich erreichbare Systeme priorisieren.
- Die weiteren im gleichen Progress-Bulletin aufgeführten Korrekturen gleichzeitig einspielen.
- Konten und Logs auf ungewöhnliche Authentifizierungsaktivitäten prüfen.
- Die Progress-Empfehlung und den CISA-KEV-Katalog regelmässig prüfen, da sich die Lage ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress advisory: MOVEit Transfer Critical Security Bulletin, September 2026 community.progress.com
- Vulnrichment: CVE-2026-89067 vulners.com
- OpenCVE: CVE-2026-89067 app.opencve.io
- GBHackers: MOVEit Transfer security flaws gbhackers.com
- SecurityOnline: Progress patches MOVEit Transfer vulnerabilities securityonline.info
- Dev.to: MOVEit Transfer authentication bypass under CVE-2026-89067 dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.