{"id":22770,"date":"2025-07-24T00:05:00","date_gmt":"2025-07-24T03:05:00","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=22770"},"modified":"2025-07-19T20:50:28","modified_gmt":"2025-07-19T23:50:28","slug":"falha-critica-no-wing-ftp-server","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2025\/07\/exploits\/falha-critica-no-wing-ftp-server\/","title":{"rendered":"Falha Cr\u00edtica no Wing FTP Server"},"content":{"rendered":"\n<p data-start=\"132\" data-end=\"207\"><strong data-start=\"132\" data-end=\"207\">Falha Cr\u00edtica no Wing FTP Server: Inje\u00e7\u00e3o de Lua em Servidores Expostos<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"209\" data-end=\"718\">Uma vulnerabilidade grav\u00edssima, registrada como <strong data-start=\"257\" data-end=\"275\">CVE-2025\u201147812<\/strong>, foi descoberta no software <strong data-start=\"304\" data-end=\"323\">Wing FTP Server<\/strong>, amplamente utilizado para transfer\u00eancia de arquivos por empresas e provedores de hospedagem. Essa brecha, de classifica\u00e7\u00e3o m\u00e1xima (CVSS 10.0), permite execu\u00e7\u00e3o remota de c\u00f3digo via inje\u00e7\u00e3o de instru\u00e7\u00f5es Lua em arquivos de sess\u00e3o \u2014 tudo isso explor\u00e1vel por qualquer conta an\u00f4nima ou autenticada.<\/p>\n<p data-start=\"209\" data-end=\"718\">\u00a0<\/p>\n<p data-start=\"720\" data-end=\"738\"><strong data-start=\"720\" data-end=\"738\">Modo de ataque<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"740\" data-end=\"1134\">A falha ocorre devido ao tratamento incorreto de caracteres nulos (<code data-start=\"807\" data-end=\"811\">\\0<\/code>) nos par\u00e2metros da interface web \u2014 em especial o campo <em data-start=\"867\" data-end=\"877\">username<\/em>. Um atacante pode inserir uma sequ\u00eancia que inclui c\u00f3digo Lua dentro desse campo, que \u00e9 ent\u00e3o armazenado em arquivos <code data-start=\"995\" data-end=\"1001\">.lua<\/code> no diret\u00f3rio de sess\u00e3o e executado com privil\u00e9gios de sistema (<em data-start=\"1065\" data-end=\"1071\">root<\/em> ou <em data-start=\"1075\" data-end=\"1083\">SYSTEM<\/em>), resultando em comprometimento total do servidor.<\/p>\n<p data-start=\"740\" data-end=\"1134\">\u00a0<\/p>\n<p data-start=\"1136\" data-end=\"1171\"><strong data-start=\"1136\" data-end=\"1171\">Primeiro registro de explora\u00e7\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"1173\" data-end=\"1615\">O grupo Huntress detectou explora\u00e7\u00e3o ativa dessa falha apenas um dia ap\u00f3s a divulga\u00e7\u00e3o p\u00fablica da POC (30 de junho de 2025). O ataque incluiu: reconhecimento e enumera\u00e7\u00e3o do sistema; cria\u00e7\u00e3o de novas contas para persist\u00eancia; download de scripts e ferramentas como <strong data-start=\"1438\" data-end=\"1455\">ScreenConnect<\/strong> para controle remoto. O incidente foi interrompido pelo Microsoft Defender, impedindo a instala\u00e7\u00e3o efetiva do backdoor. No entanto, a amea\u00e7a permanece latente.<\/p>\n<p data-start=\"1173\" data-end=\"1615\">\u00a0<\/p>\n<p data-start=\"1617\" data-end=\"1650\"><strong data-start=\"1617\" data-end=\"1650\">Escopo e urg\u00eancia da corre\u00e7\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"1652\" data-end=\"2154\">Segundo o Censys, h\u00e1 cerca de <strong data-start=\"1682\" data-end=\"1735\">8\u202f100 servidores Wing FTP acess\u00edveis publicamente<\/strong>, com aproximadamente <strong data-start=\"1757\" data-end=\"1788\">5\u202f000 interfaces web ativas<\/strong>, potencialmente vulner\u00e1veis a esse ataque. A vulnerabilidade j\u00e1 integra o cat\u00e1logo de explora\u00e7\u00e3o conhecida (KEV) da <strong data-start=\"2048\" data-end=\"2056\">CISA<\/strong>, que exige aplica\u00e7\u00e3o de patch at\u00e9 4 de agosto de 2025. A vers\u00e3o segura \u00e9 a <strong data-start=\"2132\" data-end=\"2141\">7.4.4<\/strong> ou superior.<\/p>\n<p data-start=\"1652\" data-end=\"2154\">\u00a0<\/p>\n<p data-start=\"2156\" data-end=\"2185\"><strong data-start=\"2156\" data-end=\"2185\">Mitiga\u00e7\u00e3o e boas pr\u00e1ticas<\/strong><\/p>\n<p data-start=\"2187\" data-end=\"2214\">Para proteger os ambientes:<\/p>\n<ul data-start=\"2215\" data-end=\"2606\">\n<li data-start=\"2215\" data-end=\"2287\">\n<p data-start=\"2218\" data-end=\"2287\">Atualize imediatamente para Wing FTP Server 7.4.4 ou vers\u00e3o superior.<\/p>\n<\/li>\n<li data-start=\"2288\" data-end=\"2361\">\n<p data-start=\"2291\" data-end=\"2361\">Desative contas an\u00f4nimas de FTP, especialmente em servidores p\u00fablicos.<\/p>\n<\/li>\n<li data-start=\"2362\" data-end=\"2421\">\n<p data-start=\"2365\" data-end=\"2421\">Restrinja acesso \u00e0 interface web usando firewall ou VPN.<\/p>\n<\/li>\n<li data-start=\"2422\" data-end=\"2511\">\n<p data-start=\"2425\" data-end=\"2511\">Monitore os logs buscando padr\u00f5es com <code data-start=\"2463\" data-end=\"2468\">%00<\/code> ou arquivos <code data-start=\"2481\" data-end=\"2487\">.lua<\/code> criados fora do padr\u00e3o.<\/p>\n<\/li>\n<li data-start=\"2512\" data-end=\"2606\">\n<p data-start=\"2515\" data-end=\"2606\">Fa\u00e7a auditoria completa em servidores explorados, com an\u00e1lise forense e reinstala\u00e7\u00e3o limpa.<\/p>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p data-start=\"2608\" data-end=\"2629\"><strong data-start=\"2608\" data-end=\"2629\">Panorama e li\u00e7\u00f5es<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"2631\" data-end=\"3180\">Essa falha demonstra que a camada abaixo do sistema operacional \u2014 o <strong data-start=\"2699\" data-end=\"2731\">management system mode (SMM)<\/strong> via Lua no Wing FTP \u2014 \u00e9 uma superf\u00edcie cr\u00edtica de ataque que exige aten\u00e7\u00e3o cont\u00ednua. A agilidade da explora\u00e7\u00e3o, ocorrendo poucas horas ap\u00f3s publica\u00e7\u00e3o da falha, refor\u00e7a a necessidade de resposta r\u00e1pida e vigil\u00e2ncia constante. Al\u00e9m disso, revela que operadores de servi\u00e7os de infraestrutura devem adotar estrat\u00e9gias al\u00e9m de patching: controle de exposi\u00e7\u00e3o p\u00fablica, segmenta\u00e7\u00e3o de rede e monitoramento comportamental em tempo real s\u00e3o indispens\u00e1veis.<\/p>\n<p data-start=\"2631\" data-end=\"3180\">\u00a0<\/p>\n<p data-start=\"3182\" data-end=\"3195\"><strong data-start=\"3182\" data-end=\"3195\">Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"3197\" data-end=\"3890\">A vulnerabilidade CVE\u20112025\u201147812 no Wing FTP Server representa uma amea\u00e7a cr\u00edtica: permite invas\u00e3o total via inje\u00e7\u00e3o de c\u00f3digo Lua, com potencial de controle completo do servidor. A resposta mais eficaz \u00e9 imediata: atualiza\u00e7\u00e3o, desativa\u00e7\u00e3o de contas an\u00f4nimas, restri\u00e7\u00f5es de acesso e monitora\u00e7\u00e3o focada s\u00e3o obrigat\u00f3rios. A li\u00e7\u00e3o vai al\u00e9m do patch: refor\u00e7a o princ\u00edpio de defesa em profundidade, em que a seguran\u00e7a depende tanto da corre\u00e7\u00e3o tempestiva quanto da redu\u00e7\u00e3o de superf\u00edcie de ataque e da vigil\u00e2ncia ativa. Em um cen\u00e1rio onde segundos fazem diferen\u00e7a, proatividade e rigor operacional s\u00e3o essenciais para evitar que vulnerabilidades cr\u00edticas sejam exploradas com consequ\u00eancias severas.<\/p>\n<p data-start=\"3197\" data-end=\"3890\">\u00a0<\/p>\n<p data-start=\"3892\" data-end=\"3907\"><strong data-start=\"3892\" data-end=\"3907\">Refer\u00eancias Bibliogr\u00e1ficas:\u00a0<\/strong><\/p>\n<ul data-start=\"3909\" data-end=\"4592\">\n<li data-start=\"3909\" data-end=\"4214\">\n<p data-start=\"3912\" data-end=\"4214\">The Hacker News. (11 jul. 2025). <em data-start=\"3945\" data-end=\"4039\">Critical Wing FTP Server Vulnerability (CVE\u20112025\u201147812) Actively Being Exploited in the Wild<\/em>. Dispon\u00edvel em: <a class=\"\" href=\"https:\/\/thehackernews.com\/2025\/07\/critical-wing-ftp-server-vulnerability.html\" target=\"_blank\" rel=\"noopener\" data-start=\"4056\" data-end=\"4214\">https:\/\/thehackernews.com\/2025\/07\/critical-wing-ftp-server-vulnerability.html<\/a><\/p>\n<\/li>\n<li data-start=\"4216\" data-end=\"4592\" data-is-last-node=\"\">\n<p data-start=\"4219\" data-end=\"4592\" data-is-last-node=\"\">Help Net Security. (11 jul. 2025). <em data-start=\"4254\" data-end=\"4333\">Critical Wing FTP Server vulnerability exploited in the wild (CVE-2025-47812)<\/em>. Dispon\u00edvel em: <a class=\"cursor-pointer\" href=\"https:\/\/www.helpnetsecurity.com\/2025\/07\/11\/critical-wing-ftp-server-vulnerability-exploited-in-the-wild-cve-2025-47812\/\" target=\"_blank\" rel=\"noopener\" data-start=\"4350\" data-end=\"4592\" data-is-last-node=\"\">https:\/\/www.helpnetsecurity.com\/2025\/07\/11\/critical-wing-ftp-server-vulnerability-exploited-in-the-wild-cve-2025-47812\/<\/a><\/p>\n<\/li>\n<\/ul>\n\n\n","protected":false},"excerpt":{"rendered":"<p>Falha Cr\u00edtica no Wing FTP Server: Inje\u00e7\u00e3o de Lua em Servidores Expostos Uma vulnerabilidade grav\u00edssima, registrada como CVE-2025\u201147812, foi descoberta no software Wing FTP Server, amplamente utilizado para transfer\u00eancia de arquivos por empresas e provedores de hospedagem. Essa brecha, de classifica\u00e7\u00e3o m\u00e1xima (CVSS 10.0), permite execu\u00e7\u00e3o remota de c\u00f3digo via inje\u00e7\u00e3o de instru\u00e7\u00f5es Lua em [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":22773,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-22770","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/22770","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=22770"}],"version-history":[{"count":3,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/22770\/revisions"}],"predecessor-version":[{"id":22774,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/22770\/revisions\/22774"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/22773"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=22770"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=22770"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=22770"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}