Progress nie poprosił części klientów ShareFile o zainstalowanie poprawki. Poprosił ich o wyłączenie serwerów.

Architektura firmowego udostępniania plików z lokalnym serwerem odizolowanym po ostrzeżeniu bezpieczeństwa

To najważniejszy szczegół dla zespołów IT. 10 lipca Progress Software polecił klientom używającym ShareFile Storage Zone Controllers ręcznie wyłączyć serwery Windows z tymi kontrolerami. Powód opisano jako "credible external security threat" wobec lokalnego komponentu hybrydowej architektury ShareFile.

Publiczna strona statusu w czasie sprawdzenia nadal pokazywała otwarty incydent: "ShareFile customers with Storage Zone Controllers are not operational at this time", opublikowany 10 lipca o 12:12 EDT i oznaczony jako Investigating. Progress powiedział później mediom, że dostęp cloud dla dotkniętych klientów wrócił w niedzielę 12 lipca o 17:00 ET, ale kontrolery muszą pozostać wyłączone podczas śledztwa.

Progress mówi też, że nie ma dowodów nieautoryzowanego dostępu do kont ShareFile ani danych klientów, ani aktywnej groźby w tej wypowiedzi. To ważne, ale nie oznacza zielonego światła dla ponownego uruchomienia kontrolerów.

Co robią Storage Zone Controllers

ShareFile może działać jako usługa cloud, ale część organizacji używa Storage Zone Controllers, aby trzymać pliki we własnym storage. Kontroler działa na serwerze Windows zarządzanym przez klienta. Chmura ShareFile obsługuje logowanie, użytkowników i współpracę; kontroler przenosi uploady i downloady między użytkownikami a firmowym storage.

Ten model ma sens dla prawa, ochrony zdrowia, finansów i firm z wymaganiami data residency. Ceną jest bardzo zaufany komponent brzegowy: blisko wrażliwych dokumentów, podłączony do chmury i często dostępny z internetu.

Serwer file sharing na brzegu sieci nie jest dodatkiem. To ścieżka danych.

Dlaczego polecenie wyłączenia jest nietypowe

Normalny rytm bezpieczeństwa wygląda tak: advisory, wersje dotknięte, CVE, patch, workaround, detection notes, monitoring. Boli, ale mieści się w patch management.

Tutaj jest inaczej. Według BleepingComputer i innych mediów cytujących mail do klientów, samo odcięcie dostępu przez ShareFile cloud nie wystarczyło. Klienci mieli ręcznie wyłączyć serwer jako krytyczny dodatkowy krok ochrony danych.

To nie dowodzi zero-day, aktywnej eksploatacji ani kompromitacji. Progress publicznie tego nie powiedział.

Pokazuje jednak, że vendor uznał ryzyko za wystarczająco duże, by wybrać przestój zamiast dalszej ekspozycji. W produkcji to mocny sygnał.

Co wiadomo

Progress opisał wiarygodną zewnętrzną groźbę bezpieczeństwa wobec ShareFile Storage Zone Controllers. Dotknięty komponent to kontroler zarządzany przez klienta, nie standardowe konta cloud-only. Status page potwierdza wpływ operacyjny. BleepingComputer, The Hacker News, SecurityWeek i The Register potwierdziły sens komunikacji do klientów.

Progress mówi, że nie ma dowodów nieautoryzowanego dostępu do kont ani danych klientów. SecurityWeek i The Register podały późniejszą wypowiedź Progress: dostęp do usługi cloud dla klientów z kontrolerami wrócił w niedzielę wieczorem, ale kontrolery muszą pozostać wyłączone.

Wątek r/sysadmin, który ujawnił mail, był widoczny przez RSS. To sygnał społeczności, nie główna baza faktów. Bazą są status page, wypowiedzi Progress i media branżowe.

Czego nie wiadomo

Progress nie ujawnił natury groźby, czy któryś kontroler został przejęty, czy chodzi o podatność, które wersje są dotknięte ani kiedy restart będzie bezpieczny.

Sprawdzenie NVD nie pokazało nowego wpisu z lipca 2026 dla "ShareFile Storage Zone Controller". To nie wyklucza problemu. Oznacza tylko, że publiczne metadane nie istnieją albo incydent nie ma typowego kształtu CVE.

Jest kontekst historyczny: CVE-2023-24489 dla Citrix ShareFile Storage Zones Controller oraz CVE-2026-2699 i CVE-2026-2701 dla Progress ShareFile Storage Zones Controller. Obecny incydent nie jest publicznie połączony z tymi przypadkami.

Skutek biznesowy istnieje nawet bez potwierdzonego wycieku

ShareFile służy do wymiany dokumentów. Wyłączenie kontrolerów może zatrzymać portale klientów, procesy prawne, zdrowotne, finansowe, onboarding dostawców i HR.

To testuje nie tylko security, ale też business continuity. Kto zatwierdza tymczasowy kanał transferu? Jakie dane nie mogą przejść przez ad hoc tools? Kto informuje klientów? Jeśli odpowiedź brzmi "admin ShareFile coś wymyśli", brakuje runbooka.

Co zrobić

Najpierw wykonać instrukcję vendora. Jeśli Progress mówi, że kontrolery mają zostać wyłączone, aktualna wersja nie jest zgodą na restart.

Potem zabezpieczyć dowody: snapshots, logi Windows i IIS, logi aplikacji, reverse proxy, EDR i firewall, zależnie od środowiska. Jeśli serwer już jest wyłączony, incident response powinien zdecydować przed uruchomieniem go tylko po logi.

Sprawdzić wersje i ekspozycję: liczba kontrolerów, wersje, otwarte porty, WAF lub reverse proxy, dostęp administracyjny.

Oddzielać oficjalne wskazówki od spekulacji. The Hacker News sugeruje szukać obcych plików .aspx i potwierdzić aktualne wersje. To użyteczne, ale nie zastępuje zgody Progress ani forensics.

Porozmawiać z biznesem: które procesy stoją, jakie alternatywy są zatwierdzone, których klientów trzeba poinformować i jakie dane są regulowane.

Pytania do Progress lub MSP

Czy nasz tenant i kontrolery są w dotkniętej grupie? Jakie wersje są dotknięte? Jakie logi lub wskaźniki zebrać? Czy Progress widział eksploatację kontrolerów zarządzanych przez klientów?

Co dokładnie obejmuje "no evidence of unauthorized access": konta cloud, dane klientów, hosty kontrolerów czy wszystko?

Kiedy można restartować kontrolery i pod jakimi warunkami? Jeśli odpowiedź brzmi "jeszcze nie", trzeba ją udokumentować i informować kierownictwo.

Czy tymczasowy dostęp cloud zmienia zobowiązania dotyczące lokalizacji danych, umowy albo compliance?

Szersza lekcja

Systemy file-transfer i file-sharing przyciągają atakujących, bo przenoszą wrażliwe pliki i obsługują użytkowników zewnętrznych. Progress zna ten problem po MOVEit 2023. ShareFile miał też historię z czasów Citrix. Obecnego przypadku nie wolno z nimi utożsamiać, ale należy do tej samej rodziny ryzyka.

Ta rodzina wymaga inventory, logów, przetestowanej izolacji i jasnych właścicieli: transfer gateways, storage connectors, MFT servers, reverse proxies, service accounts i data stores za nimi.

Przekaz nie brzmi "nigdy nie używaj ShareFile". Brzmi: jeśli vendor mówi "wyłącz", organizacja powinna już wiedzieć, co to znaczy technicznie, prawnie i operacyjnie.