Pesquisadores identificaram que centenas de instalações do Monsta FTP estão acessíveis pela internet e sofrem com uma vulnerabilidade crítica (CVE-2025-34299) que permite execução remota de código, sem necessidade de autenticação.
O bug permite que um invasor transmita arquivos de um servidor FTP malicioso para o cliente vulnerável, determinando exatamente onde cada arquivo será salvo. Assim, você pode instalar malwares e comprometer o sistema.
Contexto e riscos
A falha, com impacto avaliado em 9,3 (num máximo de 10), foi corrigida na versão 2.11.3 lançada em 26 de agosto. Apesar de corrigido, a atualização foi divulgada apenas como “pequenos bugs e correções”, sem menção clara ao problema de segurança.
Segundo WatchTowr e The Shadowserver Foundation, há entre 800 e 5.000 instalações expostas e vulneráveis, inclusive na Europa.
Recomendações
- Atualize imediatamente o Monsta FTP para a versão 2.11.3 ou superior.
- Desabilite ou restrinja o acesso remoto dos clientes até a correção.
- Monitore continuamente sistemas que rodam FTP baseado na web para novas vulnerabilidades.
- Se necessário, remova instâncias antigas e revalide as configurações de segurança.
Casos como esse reforçam a importância de revisar notas de lançamento, manter softwares atualizados e monitorar a exposição de interfaces críticas à internet.
