Progress MOVEit Transfer: Authentifizierungsumgehung bei LDAP-Anmeldung
Zusammenfassung
Ein fehlender kritischer Authentifizierungsschritt im LDAP-Modul von Progress MOVEit Transfer kann es einem Angreifer erlauben, die Authentifizierung für die LDAP-Anmeldung zu umgehen. Laut CVE-Eintrag sind Versionen vor 2025.1.6 sowie 2026.0.0 bis vor 2026.0.4 betroffen, und der Angriffsvektor ist netzwerkbasiert. Der CVSS-Wert ist umstritten (9.8 in den CVE-Daten, 8.1 in Sekundärquellen), und in den geprüften Quellen ist keine Ausnutzung in freier Wildbahn dokumentiert. Aus dem Internet erreichbare MOVEit-Server mit aktivierter LDAP-Anmeldung tragen das höchste Risiko.
Betroffen
- MOVEit Transfer vor 2025.1.6 (Zweig 2025.1.x)
- MOVEit Transfer ab 2026.0.0 bis vor 2026.0.4 (Zweig 2026.0.x)
- Versionen 2025.0.8 und älter werden innerhalb eines Zweigs nicht gepatcht.
Behoben in
- 2025.1.6 (Zweig 2025.1.x)
- 2026.0.4 (Zweig 2026.0.x)
- Build-Nummern sind über das Herstellerbulletin hinaus nicht bestätigt.
Umgehung
Keine Workaround-Massnahme des Herstellers dokumentiert. Nicht verifizierte Empfehlung eines Drittanbieters: Netzwerkzugriff auf MOVEit Transfer bis zum Patch auf vertrauenswürdige Quellen beschränken. Unbekannt ist, ob das Deaktivieren der LDAP-Anmeldung die Exposition beseitigt.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. In den geprüften Quellen gibt es keine Hinweise.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Öffentlicher Proof-of-Concept: keiner gefunden.
- Eine VulDB-Seite trägt das Label '0-Day'; dessen Bedeutung ist ungeklärt.
Unsere Empfehlung
- Die genaue MOVEit-Transfer-Version im MOVEit Config Utility prüfen und kontrollieren, ob die LDAP-Anmeldung verwendet wird.
- So rasch wie möglich auf 2025.1.6 oder 2026.0.4 aktualisieren; Versionen 2025.0.8 und älter auf eine unterstützte Version migrieren.
- Bis zum Patch den Web- und SFTP-Zugriff auf bekannte Quellen beschränken und Authentifizierungsprotokolle auf Auffälligkeiten bei der LDAP-Anmeldung prüfen.
- NVD-Wert und CISA-KEV-Status vor der finalen Risikobewertung verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MOVEit Transfer Critical Security Bulletin, September 2026 community.progress.com
- OpenCVE: CVE-2026-89068 app.opencve.io
- Ionix Threat Center: CVE-2026-89068 www.ionix.io
- VulDB: CVE-2026-89068 vuldb.com
- SecurityOnline: Progress patches MOVEit Transfer vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.