文件传输软件，为何屡成勒索提款机

导语： Progress ShareFile 刚刚修复了一个组合漏洞：认证绕过叠加远程代码执行，无需任何账号就能从企业环境里搬走文件。这不是故事的新章节，而是同一本书的第 N 次重印。从 Accellion FTA 到 MOVEit Transfer，文件传输平台已经是勒索团伙眼中确定性最高的猎场——这次，我们把它解剖给你看。

🔬 一条攻击链的完整解剖

金句：真正危险的漏洞，从来不是单点爆发的，而是两个「不致命」拼起来的。

watchTowr 的研究人员在 ShareFile 5.x 分支的 Storage Zones Controller（SZC，存储区域控制器）组件里挖出了两处漏洞：CVE-2026-2699 认证绕过，和 CVE-2026-2701 远程代码执行。单看任何一个，评级可能都不算「史诗级」；组合起来，就是一条完整的未认证入侵路径。

SZC 是什么？它是 ShareFile 体系里让客户把数据存在自己基础设施（本地或第三方云）的组件——换句话说，存的是企业最核心的文档资产。这类产品广泛应用于大中型企业，攻下一个 SZC，等于拿到了对方文件柜的钥匙。

攻击链条分三步走：

1. 第一步，绕过认证。 由于系统对 HTTP 重定向处理不当，攻击者可以直接进入 ShareFile 管理后台界面，全程无需密码。

2. 第二步，改写配置。 进入后台后，攻击者可以修改存储区域配置，包括文件存储路径、区域密钥等敏感安全参数。研究人员特别指出：正常利用需要生成合法的 HMAC 签名并解密内部密钥——但在拿下管理后台之后，密钥相关的配置项都能被攻击者自己设置，「钥匙锁」变成了「钥匙自己配」。

3. 第三步，落地执行。 利用第二个漏洞，通过滥用文件上传与解压功能，把恶意 ASPX 网页后门放进应用根目录，实现在服务器上的远程代码执行。

这条链最值得警惕的地方在于它的「工程美感」：每一环都建立在合法功能的滥用之上，而不是硬闯。对攻击者来说，最稳的后门，是让系统亲手打开的那扇门。

📊 暴露面：3 万台实例的真实水位

金句：漏洞评级是厂商的事，暴露面才是 CISO 要还的债。

数字是这场事件里最有张力的部分。watchTowr 的扫描结果显示，约有 3 万个存储区域控制器实例暴露在公网。而 ShadowServer 基金会 监测到的、可公网直接访问的 ShareFile 实例约为 700 台，其中大部分位于美国和欧洲。

3 万和 700，这两个数字差了四十多倍，但并不矛盾——前者是「端口开着」，后者是「门真开着」。真正该引起警觉的是：只要存在暴露，就存在被指纹识别、被批量扫描、被延迟利用的可能。 MOVEit 事件的历史经验是，漏洞披露之后的 48 小时是黄金抢修窗口，错过这个窗口的补丁，价值会指数级下降。

两个漏洞的信息汇总如下：

披露节奏本身是规范的：watchTowr 于 2 月 6 日至 13 日期间完成发现，负责任披露后，Progress 发布了 5.12.4 版本修复。流程没毛病，问题在于流程之外——那 3 万台暴露实例的运营者，有多少已经打上了补丁？ 行业里私下流传的一句吐槽很扎心：MFT 厂商的补丁发布速度，和客户的安装速度之间，隔着一条整个勒索产业的鸿沟。

🎯 Clop 剧本：为什么 MFT 是完美猎物

金句：勒索团伙不挑最强的目标，只挑回报确定性最高的目标。

把镜头拉远，这条战线的历史脉络清晰得可怕。文件传输平台历来是勒索软件团伙的重点攻击目标，此前 Clop 勒索组织就曾接连利用多款同类产品的漏洞实施大规模数据窃取：

• 2021 年：Accellion FTA——Clop 系列大规模文件窃取行动的开山之作
• 2021 年：SolarWinds Serv-U
• 2023 年：GoAnywhere MFT
• 2023 年：MOVEit Transfer——影响面最广的一次，数以千计的组织被波及
• 2024 年：Cleo\- 2025 年：Gladinet CentreStack
• 2026 年：ShareFile 漏洞披露

为什么偏偏是这一类产品？三个结构性原因：

其一，数据的浓度。 MFT 平台存在的意义就是把企业间流转的敏感文件集中起来——合同、财务报表、人事档案。对 Clop 这种「窃数据、不加密、直接勒索」的玩法来说，一个 MFT 服务器等于一座不用挖的矿。

其二，架构的矛盾。 这类产品天然要面向互联网提供服务，同时又要在服务端处理文件上传、解压、转换等复杂操作——每一个文件处理功能，都是潜在的攻击面。ShareFile 这次的后门投放路径（上传+解压），正是这个矛盾的标准爆发方式。

其三，客户的选择性忽视。 一位接近多家受影响企业的人士的说法在圈子里传得很广：「MFT 在采购时是明星项目，上线后就成了没人认领的服务器。」所有权模糊、版本陈旧、监控缺位，几乎每一起 MFT 事件背后都能找到这三件套。

这不是某家厂商的代码质量问题，而是一个品类的结构性风险。 每次出事后，舆论都聚焦于具体产品，但真正的产业判断应该是：任何「面向互联网、集中存储敏感数据、内置复杂文件处理逻辑」的系统，都应按最高风险等级对待，无论它的商标是什么。

🔑 Zammad 与 DIVD：披露者的悖论

金句：连挖漏洞的机构自己都会中招，这个行业的风险传递链值得每个人重新审视。

就在 ShareFile 漏洞披露的同期，另一条消息进一步坐实了风险传递的普遍性：开源工单系统 Zammad 的严重漏洞 CVE-2026-102489 的 PoC 漏洞利用代码已经公开。该漏洞可以泄露活跃用户的会话 Cookie，并以 Zammad 操作系统用户身份实现远程代码执行。

更讽刺的是背景：据报道，这个漏洞在 9 月荷兰漏洞披露研究院 DIVD 遭入侵的事件中已被利用，同一事件中还伴随着另一个本地提权漏洞的滥用。一个专门做漏洞披露的机构，被自家生态里的漏洞打穿了。

这个案例揭示了两个容易被忽略的事实：

第一，PoC 公开意味着攻击成本归零。 ShareFile 的漏洞目前尚无公开 PoC，而 Zammad 的已经有了。从威胁模型看，后者的紧迫性反而更高——防御者评估风险时，「有没有武器化」比「CVSS 多少分」更该排在前面。

第二，会话劫持是比 RCE 更被低估的入口。 拿到活跃会话 Cookie，意味着攻击者可以顶着合法用户的身份在系统里行走，绕过几乎所有基于「登录」的检测逻辑。在身份即边界的今天，会话就是身份，Cookie 就是钥匙。

🛡️ 防御实战：一份不给焦虑给清单的指南

金句：贩卖焦虑没有产出，可执行的清单才有。

基于这两起事件和 MOVEit 以来的全部历史教训，给企业防御者一份务实的行动清单：

三条原则性判断，供决策参考：

第一，把 MFT 从「应用资产」升级为「数据边界资产」。 它的运维等级应该向 VPN 和邮件网关看齐，而不是和普通业务系统混在一起。

第二，建立「披露即行动」的响应预案。 对这类高危品类，漏洞披露当天就该有专人核对版本，而不是等下一轮安全周报。

第三，假设配置可能已被篡改。 ShareFile 这条链告诉我们，攻击者不仅能偷数据，还能改密钥、改路径。事后处置时，仅打补丁是不够的，密钥轮换和配置基线核对必须跟上。

小结： 从 Accellion 到 ShareFile，五年来勒索产业用行动完成了一次「品类级」的猎场选择。漏洞会一个一个地被修复，但文件传输平台「数据集中+互联网暴露+复杂处理」的三重结构不会变——这意味着剧本还会重演。对防御者而言，与其追逐下一个 CVE 编号，不如现在就回答一个问题：我们有多少台这样的服务器，谁在为它们负责？答案不清楚之前，下一次大戏的开场名单里，很可能就有你。