Progress MOVEit Transfer: SQL-Injection im Modul Custom Reports
Zusammenfassung
Das Modul Custom Reports von MOVEit Transfer neutralisiert Sonderzeichen in SQL-Befehlen nicht korrekt, wodurch eine SQL-Injection möglich ist. Ein Angreifer mit einem authentifizierten Konto mit Berichtsrechten kann Daten in der MOVEit-Datenbank lesen, ändern oder löschen; diese enthält Übertragungsmetadaten, Benutzerdaten und Audit-Einträge. Für die Ausnutzung sind gültige Zugangsdaten nötig, daher hängt das Risiko davon ab, wie viele Konten Custom Reports nutzen können. Die CVSS-Bewertung unterscheidet sich zwischen den Quellen, weshalb sie im NVD-Eintrag überprüft werden muss.
Betroffen
- MOVEit Transfer vor 2025.1.6
- MOVEit Transfer 2026.0.0 bis vor 2026.0.4
- Das Herstellerbulletin nennt zusätzlich 2025.0.8 und früher, die auf eine aktive Version aktualisiert werden müssen.
Behoben in
- Aktualisierung auf MOVEit Transfer 2025.1.6 oder neuer im Zweig 2025.1
- Aktualisierung auf MOVEit Transfer 2026.0.4 oder neuer im Zweig 2026.0
- Der Hersteller gibt an, dass alle CVEs im Bulletin vom September 2026 in diesen Versionen behoben sind.
Umgehung
Unbekannt.
- Der Hersteller dokumentiert keine Workaround-Massnahme.
- Inoffizieller Vorschlag Dritter: Custom Reports auf namentlich bekannte Konten beschränken und aus breit genutzten Gruppenrollen entfernen.
- Inoffizieller Vorschlag Dritter: Der Datenbankrolle von MOVEit das Minimalprinzip (Least Privilege) zuweisen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; das Herstellerbulletin erwähnt keine Ausnutzung.
- Nicht im Katalog KEV der CISA aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- MOVEit Transfer so rasch wie möglich auf 2025.1.6 oder 2026.0.4 aktualisieren, zusammen mit dem gesamten Bulletin vom September 2026.
- Die installierte Version jetzt prüfen und alle aus dem Internet erreichbaren MOVEit-Weboberflächen identifizieren.
- Bis zur Aktualisierung Custom Reports auf einen kleinen Kreis namentlich bekannter Administratoren beschränken.
- Kürzlich erstellte oder geänderte Berichtsdefinitionen und Kontoaktivitäten auf Auffälligkeiten prüfen.
- Die CVSS-Bewertung im NVD-Eintrag überprüfen, bevor sie intern gemeldet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MOVEit Transfer September 2026 Critical Security Bulletin community.progress.com
- OpenCVE: CVE-2026-89076 app.opencve.io
- Strix: CVE-2026-89076 www.strix.ai
- VulDB entry 419980 vuldb.com
- Hunting for SQL injection abuse in MOVEit Transfer before the patch lands dev.to
- CVE-2026-89076 and the reporting endpoint problem in file transfer platforms dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.