两个漏洞拼一把钥匙，企业文件柜被人撬了

文件传输平台的漏洞，从来不是发现得太晚，而是被利用得太早。

watchTowr 研究团队最近披露了 Progress 旗下企业级文件共享产品 ShareFile 的两处漏洞：一处认证绕过（CVE-2026-2699），一处远程代码执行（CVE-2026-2701）。单独看，每一条都不算惊天动地；但组合起来，攻击者可以在完全不需要身份认证的情况下，从受影响环境中直接窃取文件。

这不是一个普通的补丁通告。对熟悉 Clop 勒索组织作案手法的从业者来说，这套剧本熟得让人心里发凉。

🧩 一条无认证攻击链，是拼出来的

最危险的漏洞，往往每一个零件单看都不致命。

先看攻击链本身。ShareFile 5.x 分支中的 Storage Zones Controller（SZC，存储区域控制器）是这次的问题组件——它允许企业把数据存在自己的本地基础设施或第三方云里，而不是 Progress 官方系统，客户对数据的掌控感更强。

掌控感更强，责任也更重。watchTowr 的研究人员发现，由于系统对 HTTP 重定向处理不当，攻击者可以直接访问 ShareFile 的管理后台界面（CVE-2026-2699）。进了后台，攻击者就能修改存储区域配置，包括文件存储路径、区域密钥等敏感安全参数。

第二步才是真正的杀招：滥用文件上传与解压功能（CVE-2026-2701），把恶意 ASPX 网页后门放进应用根目录，实现远程代码执行。

一个值得注意的细节：正常利用第二个漏洞需要生成合法的 HMAC 签名，并提取和解密内部密钥——这本来是两道门槛。但一旦攻击者借助第一个漏洞拿到了配置修改权限，密钥相关配置项就在他的掌控之下，两道门槛同时失效。

这就是当代漏洞利用的典型形态：认证绕过负责开门，RCE 负责住进来。对防御方来说，这意味着不能只盯着高危 RCE 打分评级，一个看起来中危的认证问题，可能就是整条链的起点。

📡 三万个实例，正暴露在公网上

暴露面数字，比漏洞评分更能说明问题。

watchTowr 完成扫描后的结论是：约 3 万个存储区域控制器实例暴露在公网上。而 ShadowServer 基金会独立监测到的数据是约 700 台可公网访问的 ShareFile 实例，其中大部分位于美国和欧洲。

两个数字差距不小，但并不矛盾——3 万是 SZC 组件层面的暴露统计，700 是完整 ShareFile 实例的可访问监测口径。无论取哪个口径，结论都一样：这类系统天生就长在互联网上。

这不难理解。文件传输平台的存在意义就是与外部交换文件，它必须对外开放、必须处理不可信输入、必须长期服役不轻易下线。三个特征叠加，构成了攻击者眼中的完美目标画像。

据多位接近企业安全运营的人士反馈，不少公司甚至说不清自己内网里到底部署了几套文件传输中间件——采购部门买的 SaaS，IT 部门自建的存储区，业务线私自起的传输服务，最后都变成了没人认领的暴露面。

补丁已经来了。在 watchTowr 完成负责任漏洞披露后，Progress 发布了 ShareFile 5.12.4 版本修复上述问题。但版本号只解决已知问题，解决不了「不知道自己装了」的问题。

从 2 月 6 日到 13 日的研究窗口，到补丁落地，中间的每一天都是潜在的窗口期。对企业而言，窗口期内唯一可控的变量是暴露面——能不能把不必要对外开放的实例先收回来，往往比等补丁更决定生死。

🎯 为什么总是文件传输平台出事

勒索团伙的猎物清单，几乎是一份文件传输产品的编年史。

素材中最值得玩味的一句话是：此类文件传输平台历来是勒索软件团伙的重点攻击目标。这不是泛泛而谈，而是一串具体的产品名——Clop 勒索组织曾先后利用 Accellion FTA、SolarWinds Serv-U、Gladinet CentreStack、GoAnywhere MFT、MOVEit Transfer、Cleo 等产品中的漏洞，实施大规模数据窃取攻击。

这一排名字背后是同一套产业逻辑：文件传输平台是数据的聚集地、流程的咽喉、IT 预算里的老资产。它聚合了客户数据、财务凭证、合同文件——对勒索团伙来说，一次突破就能拿走一个企业的谈判筹码。

而 Clop 们的打法早已迭代：不加密、只偷数据，纯靠泄露威胁施压。这意味着传统备份根本防不住——数据是原样被拿走的，恢复业务救不了声誉。

ShareFile 广泛应用于大中型企业，且 SZC 组件还支持把数据留在客户自有基础设施——数据敏感度高、攻击利用价值高，它的落位几乎注定在头号猎物象限里。

圈内流传一句话：MFT 平台的漏洞，不是会不会被武器化的问题，而是武器化要排多久队的问题。每一次披露，都应该按「已被在野利用」的预设来响应。

🛠️ 补丁只有一行版本号，防御是一场流程

升级 5.12.4 只是及格线，真正的考题在补丁之外。

对用到了 SZC 组件的 Progress ShareFile 客户，结合本次攻击链的特征，有几件事是明确的：

这四条对应的是本次攻击链的四个环节：暴露面是入口，配置篡改是放大器，ASPX 后门是落脚点，资产盲区是根因。跳过任何一环去谈「打了补丁就安全」，都是自欺。

产业层面的判断是：文件传输软件的供应商正在被勒索经济重塑责任边界。MOVEit 事件之后，大规模数据泄露的诉讼与追责已经成为这类厂商的常态成本；供应商的补丁速度、披露透明度，正在变成企业采购文件传输产品时的核心评估项，而不只是功能清单后面的脚注。

对企业安全团队，还有一个更现实的动作：把「我们用了哪些文件传输平台、哪些暴露在公网、谁负责打补丁」这三个问题的答案，白纸黑字写进资产台账。做不到这一点，再快的补丁也只是别人的补丁。

ShareFile 这条漏洞链，单看每一环都不新鲜：重定向处理不当、配置可篡改、上传解压被滥用——全是老问题的排列组合。但勒索团伙要的从来不是学术意义上的新漏洞，而是一条能稳定走通的无认证路径。

约 3 万个暴露的 SZC 实例摆在那里，Progress 的补丁已经发出，剩下的时间窗口属于每一家还没行动的企业。下一次 Clop 式大规模数据窃取发生时，问题不会是「为什么又有 MFT 平台出洞」，而是「为什么它还裸奔在公网上」。