ProFTPD CVE-2015-3306: accesso ai file con mod_copy nel KEV

L’8 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2015-3306, una vulnerabilità di ProFTPD, server FTP per sistemi Linux e Unix. Il difetto si trova nel modulo mod_copy di ProFTPD 1.3.5 e permette a un attaccante remoto di leggere e scrivere file arbitrari sul server, usando i comandi FTP SITE CPFR e SITE CPTO.

La vulnerabilità non è nuova: è stata pubblicata il 18 maggio 2015 e, già nel 2015, Debian, Fedora e openSUSE hanno diffuso i loro bollettini di aggiornamento. Il catalogo KEV, però, raccoglie le vulnerabilità di cui la CISA ha prove di sfruttamento attivo. L’ingresso nel catalogo è quindi un segnale da prendere sul serio per chi ha ancora server ProFTPD non aggiornati.

Cosa è successo

La CISA ha inserito la CVE-2015-3306 nel KEV con la descrizione “ProFTPD Improper Access Control Vulnerability” e ha fissato all’11 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni, un termine molto breve. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

Nel catalogo non ci sono dettagli sugli attacchi osservati, sugli autori o sulle vittime, né spiegazioni sul perché la vulnerabilità entri nel KEV solo ora.

Dettagli tecnici

• CVE: CVE-2015-3306, pubblicata il 18 maggio 2015. La scheda NVD è stata aggiornata il 9 ottobre 2026 ed è in fase di nuova analisi.
• Prodotto e versione colpita: ProFTPD 1.3.5, modulo mod_copy. È l’unica versione indicata nella scheda NVD.
• Comandi coinvolti: SITE CPFR (copy from) e SITE CPTO (copy to), con cui il modulo copia file sul server.
• Effetto: lettura e scrittura di file arbitrari da parte di un attaccante remoto.
• Gravità: CVSS 3.1 10.0 (critica), AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. L’attacco avviene in rete, è di bassa complessità, non richiede privilegi né interazione dell’utente e colpisce riservatezza, integrità e disponibilità, anche oltre il componente vulnerabile (scope changed). CVSS 2: 10.0.
• Debolezza: CWE-284 (controllo degli accessi improprio).
• Codice pubblico: tra i riferimenti della scheda NVD compaiono due exploit su Exploit-DB, diverse pagine di Packet Storm (tra cui “ProFTPd CPFR/CPTO Proof Of Concept” e “ProFTPd 1.3.5 Remote Command Execution”) e un modulo di Metasploit di Rapid7 chiamato proftpd_modcopy_exec. Secondo i titoli, il codice pubblico non si limita alla copia di file ma arriva all’esecuzione di comandi.
• Bollettini collegati: la scheda NVD elenca gli avvisi di Debian (DSA-3263), Fedora e openSUSE, che hanno distribuito pacchetti corretti.
• MITRE ATT&CK: lo sfruttamento di un servizio esposto corrisponde a T1190 (Exploit Public-Facing Application).

Impatto per le aziende europee e italiane

Un server FTP serve a scambiare file: con questa vulnerabilità un attaccante può leggere file che non dovrebbe vedere e scriverne di nuovi dove non dovrebbe. Secondo il vettore CVSS non servono credenziali: conta soltanto se il servizio è raggiungibile. L’impatto è pieno su riservatezza, integrità e disponibilità.

I sistemi più a rischio sono quelli che nessuno aggiorna da anni: vecchi server di scambio file, macchine virtuali dimenticate, installazioni compilate a mano e mai seguite dagli aggiornamenti della distribuzione. Con exploit pubblici disponibili da oltre dieci anni, una versione 1.3.5 ancora esposta su Internet va considerata a rischio concreto.

Per i soggetti che rientrano nella NIS2, la compromissione di un server esposto è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie, dove i server di scambio file possono trattare dati personali e clinici.

Cosa fare subito

1. Fai l’inventario: individua tutti i sistemi su cui gira ProFTPD, compresi quelli interni, quelli esposti su Internet e gli apparati che lo includono.
2. Verifica versione e moduli: la versione indicata come vulnerabile è la 1.3.5. Controlla anche se il modulo mod_copy è caricato nella configurazione. Se usi i pacchetti di una distribuzione Linux, verifica lo stato con il bollettino della distribuzione, non solo con il numero di versione.
3. Aggiorna: installa la versione corretta indicata dal produttore o il pacchetto aggiornato della tua distribuzione. Se trovi ancora installazioni di quell’epoca, valuta il passaggio a una versione supportata.
4. Se non puoi aggiornare, applica le mitigazioni indicate dal produttore. Se non ce ne sono, la CISA indica di dismettere il prodotto.
5. Riduci l’esposizione: controlla quali server FTP rispondono da Internet e se è davvero necessario.
6. Rileva: cerca nei log del server FTP i comandi SITE CPFR e SITE CPTO, soprattutto da indirizzi sconosciuti, e verifica l’integrità dei file nelle cartelle raggiungibili dal servizio. Se trovi tracce, tratta il server come compromesso e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, come le CVE del catalogo KEV: aiuta a trovare in fretta i server con ProFTPD da aggiornare. ARX Expose controlla i servizi che la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note. ARX Sentry raccoglie log ed eventi dai server Linux e controlla l’integrità dei file nelle cartelle stabilite, così una scrittura inattesa non passa inosservata.

Ultimo aggiornamento: 8 ottobre 2026