Ruim elfhonderd CrushFTP-servers missen update voor aangevallen lek
Ruim elfhonderd CrushFTP-servers missen een kritieke beveiligingsupdate voor een actief aangevallen kwetsbaarheid. Veertig van de kwetsbare servers staan in Nederland, aldus The Shadowserver Foundation. Eerder dit jaar werd een andere kwetsbaarheid in CrushFTP gebruikt voor het stelen van data bij allerlei organisaties.
CrushFTP bestaat al sinds 1998 en ondersteunt verschillende protocollen, zoals ftp, ftps, sftp, http, https, WebDAV en WebDAV SSL. Vorige week lieten de ontwikkelaars weten dat aanvallers misbruik van een kwetsbaarheid in oudere versies maken, aangeduid als CVE-2025-54309. Via het beveiligingslek kan een ongeauthenticeerde aanvaller op afstand admintoegang tot een CrushFTP-server krijgen en zo bijvoorbeeld bestanden stelen. De meest recente versies zijn niet kwetsbaar (10.8.5 en 11.3.4_23).
The Shadowserver Foundation is een stichting die op internet naar kwetsbare systemen scant om daarna eigenaren te waarschuwen. Na bekendmaking van de kwetsbaarheid werd naar kwetsbare CrushFTP-servers gescand. Dat leverde in eerste instantie 1040 kwetsbare servers op, maar inmiddels is dat naar 1115 ongepatchte servers gestegen. Veertig daarvan staan volgens The Shadowserver Foundation in Nederland. Het grootste deel bevindt zich in de Verenigde Staten.
Het wordt hoog tijd dat er consequenties komen voor nalatigheid. Niet als straf, maar als harde prikkel om eindelijk eens de basis op orde te krijgen. Want zolang we blijven accepteren dat organisaties maandenlang niet patchen, blijven we in dezelfde cirkel ronddraaien: kwetsbaarheid – aanval – schade – excuses. En intussen lopen criminelen lachend binnen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?