CVE-2025-10035
Eine Deserialisierungsschwachstelle im License Servlet von Fortra's GoAnywhere MFT ermöglicht es einem Akteur mit einer gültig gefälschten Lizenzantwortsignatur, ein beliebiges, vom Akteur kontrolliertes Objekt zu deserialisieren, was möglicherweise zu Command Injection führt.
Aktiv ausgenutzt
- Seit dem 29.09.2025 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 20.10.2025 beheben (BOD 22-01)
- Erster Angriff 6 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
- In Ransomware-Kampagnen eingesetzt
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 03.10.2026 01.10.2026 26.09.2026 25.09.2026 24.09.2026 19.09.2026
CVSS-Score10.0 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HSchwachstellentyp (CWE)CWE-77, CWE-502, CWE-77, CWE-502
Herstellerfortra
Betroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| fortra | goanywhere managed file transfer | < 7.6.3 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.