Resumo do problema
CVE-2025-34299 é uma vulnerabilidade de Remote Code Execution (RCE) em Monsta FTP que permite execução remota pré-autenticada. A análise pública indica que ao menos 5.000 instâncias da aplicação estão expostas na internet e que a falha tem sido explorada em ambiente real.
Vetor e técnica de exploração
Segundo a investigação da WatchTowr Labs, o ataque segue três etapas: 1) induzir Monsta FTP a conectar-se a um servidor SFTP controlado pelo atacante; 2) baixar um payload especialmente montado; 3) gravar o arquivo em um caminho arbitrário no servidor alvo, culminando em execução de código. A exploração ocorre mesmo sem autenticação em versões vulneráveis.
Versões afetadas e correção
Fontes reportam que as versões afetadas incluem Monsta FTP até 2.11.2 (especificamente versões 2.10.3–2.11). O fornecedor lançou a versão 2.11.3 em 26 de agosto de 2025, que, segundo as análises, corrige a falha. Pesquisadores da WatchTowr Labs observaram mudanças mínimas entre versões 2.10.3 e 2.10.4 que deixaram vulnerabilidades pré-existentes sem correção adequada, o que contribuiu para o problema persistente.
Impacto e setores potencialmente expostos
Monsta FTP é usado por organizações de setores diversos, incluindo instituições financeiras e grandes empresas, conforme as reportagens. Com milhares de instâncias expostas, a falha representa risco de comprometimento de servidores que hospedam sites, sistemas de arquivos remotos e fluxos de trabalho administrativos que dependem do cliente web. Uma RCE pré-autenticada permite controle completo do sistema comprometido e interação direta com arquivos e processos no servidor.
Mitigações imediatas
- Atualizar para Monsta FTP v2.11.3 imediatamente em todas as instâncias;
- Inventariar instalações expostas e aplicar controles de acesso (firewall, restrição de IP, WAF) onde a atualização não puder ser imediata;
- Rever logs e evidências de acesso para identificar atividade relacionada a downloads de SFTP suspeitos ou gravações em caminhos incomuns;
- Considerar isolar instâncias web-based de gerenciamento de arquivos em redes internas com controle de acesso estrito.
Limites das informações
As publicações citadas relatam exploração em estado ativo, mas não detalham a escala exata das intrusões nem fornecem lista de vítimas identificadas. As fontes apontam problemas de manutenção e correções insuficientes entre releases que facilitaram a persistência da superfície vulnerável.
O que falta saber
Não há, nas matérias reunidas, informações públicas sobre grupos atribuídos às explorações nem sobre indicadores de comprometimento compilados por um CERT oficial. Equipes de resposta devem tratar a ocorrência como de alta criticidade enquanto promovem remediação e investigação forense local.