Hôm thứ năm, Fortra đã công bố kết quả điều tra về CVE-2025-10035 , một lỗ hổng bảo mật nghiêm trọng trong GoAnywhere Managed File Transfer (MFT) được đánh giá là đã bị khai thác tích cực kể từ ít nhất ngày 11 tháng 9 năm 2025.

Công ty cho biết họ bắt đầu điều tra vào ngày 11 tháng 9 sau khi một khách hàng báo cáo về "lỗ hổng bảo mật tiềm ẩn", phát hiện ra "hoạt động đáng ngờ tiềm ẩn" liên quan đến lỗ hổng này.

Cùng ngày, Fortra cho biết họ đã liên hệ với những khách hàng tại chỗ được xác định là có bảng điều khiển quản trị GoAnywhere có thể truy cập được vào Internet công cộng và đã thông báo cho cơ quan thực thi pháp luật về sự cố này.

Bản sửa lỗi nhanh cho các phiên bản 7.6.x, 7.7.x và 7.8.x của phần mềm đã được cung cấp vào ngày hôm sau, với bản phát hành đầy đủ tích hợp bản vá - phiên bản 7.6.3 và 7.8.4 - được cung cấp vào ngày 15 tháng 9. Ba ngày sau, CVE cho lỗ hổng bảo mật đã được chính thức công bố, công ty cho biết thêm.

"Phạm vi rủi ro của lỗ hổng này chỉ giới hạn ở những khách hàng có bảng điều khiển quản trị được kết nối với internet công cộng", Fortra cho biết. "Các thành phần web khác của kiến ​​trúc GoAnywhere không bị ảnh hưởng bởi lỗ hổng này."

Tuy nhiên, công ty thừa nhận rằng có "số lượng báo cáo hạn chế" về hoạt động trái phép liên quan đến CVE-2025-10035. Để giảm thiểu rủi ro, công ty khuyến nghị người dùng hạn chế quyền truy cập bảng điều khiển quản trị qua internet, cũng như bật tính năng giám sát và cập nhật phần mềm.

CVE-2025-10035 liên quan đến một trường hợp lỗ hổng giải tuần tự hóa trong License Servlet, có thể dẫn đến việc chèn lệnh mà không cần xác thực. Trong một báo cáo đầu tuần này, Microsoft đã tiết lộ rằng một mối đe dọa mà họ theo dõi là Storm-1175 đã khai thác lỗ hổng này kể từ ngày 11 tháng 9 để triển khai mã độc tống tiền Medusa.

Tuy nhiên, vẫn chưa rõ kẻ tấn công đã lấy được khóa riêng tư cần thiết để khai thác lỗ hổng này bằng cách nào.

Benjamin Harris, Giám đốc điều hành kiêm nhà sáng lập của watchTowr, cho biết: "Việc Fortra hiện đã quyết định xác nhận (theo lời họ) 'hoạt động trái phép liên quan đến CVE-2025-10035' một lần nữa chứng tỏ rằng lỗ hổng này không phải là lý thuyết và kẻ tấn công đã bằng cách nào đó lách luật hoặc đáp ứng các yêu cầu mật mã cần thiết để khai thác lỗ hổng này".