Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) во вторник добавило недавно обнаруженную уязвимость в FileZen в свой каталог известных уязвимостей (KEV), сославшись на доказательства активного использования.
Уязвимость, отслеживаемая как CVE-2026-25108 (оценка CVSS v4: 8,7), представляет собой случай внедрения команд операционной системы (ОС), который может позволить авторизованному пользователю выполнять произвольные команды через специально сформированные HTTP-запросы.
«Soliton Systems K.K FileZen содержит уязвимость в виде внедрения команд ОС, когда пользователь входит в уязвимый продукт и отправляет специально сформированный HTTP-запрос», — заявило CISA.
Согласно Japan Vulnerability Notes (JVN), уязвимость затрагивает следующие версии продукта для передачи файлов:
Soliton отметила в своем уведомлении, что успешное использование этой уязвимости возможно только при включенной опции FileZen Antivirus Check Option, добавив, что «получила по крайней мере одно сообщение о повреждении, вызванном использованием этой уязвимости».
Японская технологическая компания также сообщила, что злоумышленник должен войти в веб-интерфейс с общими правами пользователя, чтобы осуществить атаку. Пользователям рекомендуется обновить программу до версии 5.0.11 или более поздней, чтобы снизить угрозу.
«Если вы подверглись атаке или подозреваете, что стали жертвой этой уязвимости, пожалуйста, рассмотрите возможность не только обновления до версии 5.0.11 или более поздней, но и смены всех паролей пользователей в качестве меры предосторожности, поскольку злоумышленник может войти в систему с помощью по крайней мере одной реальной учетной записи», — добавила компания.
Агентствам Федеральной гражданской исполнительной ветви власти (FCEB) рекомендуется применить необходимые исправления до 17 марта 2026 года, чтобы обеспечить безопасность своих сетей.