Progress MOVEit Transfer: Unzureichendes Ablaufen von Sitzungen
Zusammenfassung
Progress MOVEit Transfer enthält eine Schwachstelle durch unzureichendes Ablaufen von Sitzungen (CWE-613), erfasst als CVE-2026-89073. Der Hersteller beschreibt sie als Umgehung von Zugriffsbeschränkungen, wobei ein Angreifer möglicherweise Sitzungen wiederverwenden kann, die eigentlich abgelaufen sein sollten. Das Herstellerbulletin stuft die Schwachstelle mit CVSS 7.5 (High) ein, und die SSVC-Bewertung von CISA meldet eine vollständige technische Auswirkung. Der in den übermittelten Daten genannte CVSS-Wert 9.8 konnte nicht bestätigt werden, daher wird der Herstellerwert verwendet, und der aktuelle NVD-Wert sollte geprüft werden.
Betroffen
- MOVEit Transfer vor 2025.1.6
- MOVEit Transfer ab 2026.0.0 bis vor 2026.0.4
Behoben in
- Upgrade auf MOVEit Transfer 2025.1.6 oder eine spätere Version des Zweigs 2025.1
- Upgrade auf MOVEit Transfer 2026.0.4
- Zweig 2025.0.8 und früher: keine direkte Korrektur verfügbar; der Hersteller verlangt eine Migration auf eine aktive Version
Umgehung
Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert; der Hersteller empfiehlt ein Upgrade.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no.
- Kein öffentlicher Proof of Concept gefunden.
- Die MOVEit-Produktfamilie wurde 2023 stark ausgenutzt; dies dient nur als Kontext.
Unsere Empfehlung
- Alle MOVEit-Transfer-Instanzen und deren Versionen erfassen.
- Upgrade auf 2025.1.6 oder 2026.0.4 durchführen oder vom Zweig 2025.0.8 und früher migrieren.
- Alle zwölf Schwachstellen des Bulletins von September 2026 gleichzeitig patchen.
- Nach dem Patchen bestehende Sitzungen ungültig machen.
- Den externen Zugriff auf die Web- und SFTP-Schnittstellen einschränken, soweit der Geschäftsbetrieb dies zulässt.
- Protokolle ab dem Veröffentlichungsdatum auf ungewöhnliche oder langlebige Sitzungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MOVEit Transfer Critical Security Bulletin (September 2026) community.progress.com
- OpenCVE: CVE-2026-89073 app.opencve.io
- VulnRichment: CVE-2026-89073 vulners.com
- VulDB: CVE-2026-89073 vuldb.com
- Cyberpress: Multiple MOVEit Transfer flaws cyberpress.org
- GBHackers: MOVEit Transfer security flaws gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.