Wer File-Transfer hört, denkt sofort an die MOVEit-Massenpanne 2023. Jetzt steht der nächste Brocken im Kalender: am 30. April 2026 hat Progress Software CVE-2026-4670 veröffentlicht – einen Authentication-Bypass mit CVSS 9.8. Heißt: dein MOVEit-Server steht offen, sobald jemand die Lücke kennt.
HAMMER: 9.8er-Bewertung – höher geht kaum
Die offizielle Klassifizierung lautet „Authentication bypass by primary weakness“ (CWE-305). Das ist Behörden-Sprech für: der Login-Mechanismus hat eine Logik-Lücke, durch die du ohne gültige Credentials einfach durchspazierst. Kein Brute-Force, kein Phishing – einfach nur die richtige Anfrage an den falschen Endpunkt.
Die Bedingungen für einen Angriff sind brutal entspannt: keine Vorabauthentifizierung nötig, keine User-Interaktion, kein Insider-Zugang. Wer den Server übers Netz erreicht, kann angreifen.
SCHOCK: Diese Versionen sind verwundbar
- MOVEit Automation 2025.0.0 bis vor 2025.0.9
- MOVEit Automation 2024.0.0 bis vor 2024.1.8
- Alle Versionen älter als 2024.0.0
Falls du noch auf einer 2023er-Linie hängst: Update jetzt. Die alten Branches bekommen längst keinen Patch mehr.
SO checkst du, ob du JETZT betroffen bist
Drei Schritte, die jeder Admin in 10 Minuten erledigen kann:
- Im MOVEit-Webinterface unter „About“ die Versionsnummer ablesen.
- Mit der Liste oben abgleichen – jede Version unterhalb der Patch-Schwelle ist verwundbar.
- Wenn betroffen: sofort auf 2025.0.9 oder 2024.1.8 aktualisieren. Progress liefert den Patch über den normalen Update-Kanal aus.
EXTRA-TIPP: Patchpause? Dann SOFORT die Firewall hochziehen
Wenn du den Patch nicht in den nächsten Stunden installieren kannst (Wartungsfenster, Change-Approval, you name it), schließ dein MOVEit per Firewall-Regel von der öffentlichen IP weg. Nur der Reverse-Proxy oder das interne Netz dürfen drauf, der Rest sieht eine 403. Das ist eine Stop-Gap-Maßnahme, kein Fix – aber besser als nichts.
WICHTIG: Aktive Angriffe? Noch nicht – aber das war 2023 auch so
Stand jetzt sind keine bekannten aktiven Exploits in der freien Wildbahn dokumentiert. Bei MOVEit Transfer 2023 sah es 48 Stunden vor dem Cl0p-Massaker genauso aus. Wer also denkt „läuft schon noch ein paar Tage“, könnte sich böse irren.
Progress hat im April-Bulletin parallel mehrere weitere MOVEit-WAF-Lücken gepatcht (CVE-2026-3517, -3518, -3519, -4048, -21876). Wenn du am MOVEit-Bestand hängst, prüf gleich den ganzen Block, nicht nur die 4670.
FAZIT: Heute Patch oder Stecker ziehen
Die Lücke ist kritisch genug, um nicht aufs Wochenende zu warten. File-Transfer-Server sind das Sahnestückchen für jede Ransomware-Crew, weil dort die fettesten PII-Datensätze von Banken, Behörden und Krankenhäusern liegen. Patch heute, oder mach den Server unerreichbar.