Progress Software heeft klanten gewaarschuwd voor een kritieke kwetsbaarheid in zijn MOVEit Automation-software, waarmee aanvallers de authenticatie kunnen omzeilen. MOVEit Automation is een enterprise-grade managed file transfer (MFT) oplossing die complexe dataworkflows automatiseert en fungeert als centrale orchestrator voor het plannen en beheren van bestandsoverdrachten tussen lokale servers, cloudopslag en externe partners.

De kwetsbaarheid, geregistreerd als CVE-2026-4670, treft versies van MOVEit Automation ouder dan 2025.1.5, 2025.0.9 en 2024.1.8. Kwaadwillenden kunnen deze kwetsbaarheid op afstand misbruiken zonder dat zij over privileges beschikken op het doelwit en zonder dat gebruikersinteractie nodig is. Volgens een advies van Progress is het noodzakelijk om de software te upgraden naar de nieuwste versie met de volledige installer, wat tijdelijk tot een systeemuitval zal leiden.

Op dezelfde dag bracht Progress ook een update uit voor een ernstige privilege-escalatiekwetsbaarheid (CVE-2026-5174) die voortkomt uit een onjuiste invoervalidatie in dezelfde software. Uit een door cybersecurity consultant Daniel Card gedeelde Shodan-zoekopdracht blijkt dat meer dan 1.400 MOVEit Automation-instanties online zichtbaar zijn, waarvan meer dan een dozijn gekoppeld zijn aan lokale en deelstaatoverheden in de VS. Het is echter onduidelijk hoeveel van deze systemen inmiddels zijn beveiligd tegen aanvallen via CVE-2026-4670.

Hoewel Progress nog geen meldingen heeft ontvangen van actieve uitbuiting van deze kwetsbaarheden, zijn eerdere beveiligingslekken in MOVEit MFT in het verleden wel doelwit geweest van aanvallen. Zo maakte de Clop-ransomwaregroep in 2023 gebruik van een zero-day in het MOVEit Transfer-platform om in een omvangrijke reeks datadiefstallen meer dan 2.100 organisaties en ruim 62 miljoen personen te treffen, volgens schattingen van Emsisoft. MFT-software is een aantrekkelijk doelwit voor ransomwaregroepen, zoals ook bleek uit eerdere campagnes gericht op kwetsbaarheden in Accellion FTA, SolarWinds Serv-U, Gladinet CentreStack, GoAnywhere MFT en Cleo.

Progress Software meldt dat zijn MOVEit MFT-oplossingen wereldwijd door meer dan 3.000 ondernemingen en ruim 100.000 gebruikers worden ingezet.