Progress ordonne aux clients de ShareFile d'éteindre leurs Storage Zone Controllers face à une « menace de sécurité externe crédible »

Le 10 juillet 2026, Progress Software — l'éditeur basé à Burlington, dans le Massachusetts, à l'origine de la plateforme de transfert de fichiers managé ShareFile — a pris la mesure inhabituelle de demander à ses clients d'éteindre manuellement les serveurs hébergeant leurs Storage Zone Controllers après avoir identifié ce qu'il a qualifié de « menace de sécurité externe crédible ». La consigne est devenue publique lorsqu'un client a publié le courriel reçu sur la communauté r/sysadmin de Reddit, avant d'être corroborée par la propre page d'état de Progress, qui a rapidement présenté les clients Storage Zone Controller comme « non opérationnels » pendant que l'entreprise enquêtait.

L'avertissement concerne spécifiquement le Storage Zones Controller, le composant Windows auto-hébergé qui permet aux organisations de conserver leurs fichiers sur leur propre infrastructure tout en utilisant le cloud de ShareFile pour les partager et les gérer ; les comptes ShareFile purement cloud ne sont pas touchés. Progress a insisté sur le fait que désactiver l'accès via le cloud ShareFile ne suffisait pas — les clients ont été priés de « procéder manuellement à l'arrêt du serveur hébergeant vos Storage Zone Controllers », l'entreprise présentant cet arrêt comme « une étape supplémentaire essentielle pour garantir la sécurité de vos données ». Au moment des premières communications, l'entreprise affirmait n'avoir aucun indice d'accès non autorisé à un compte ou à des données ShareFile, et elle n'a ni nommé la menace, ni précisé si une faille zero-day était en cause, ni attribué l'activité à un quelconque acteur.

Un composant au passé récent de failles critiques

Cette directive d'urgence survient quelques mois seulement après la divulgation de deux vulnérabilités critiques de préauthentification dans ce même composant. En février 2026, Progress avait confirmé la CVE-2026-2699, une faille de contournement d'authentification atteignant le score maximal de CVSS 9.8, associée à la CVE-2026-2701, une faille d'exécution de code à distance notée 9.1. Enchaînées, ces failles permettaient à un attaquant non authentifié d'atteindre des pages de configuration protégées et d'y téléverser un webshell ASPX malveillant afin d'obtenir une exécution de code à distance complète. Le 2 avril 2026, watchTowr Labs a publié une preuve de concept fonctionnelle, et les analyses d'Internet menées à l'époque recensaient de plusieurs centaines à près de 30 000 Storage Zones Controllers exposés dans le monde, les États-Unis et l'Allemagne étant les plus représentés.

Pourquoi c'est important

ShareFile appartient à la même catégorie de logiciels de transfert de fichiers managé exposés sur Internet — aux côtés de MOVEit, GoAnywhere et Accellion — qui ont été exploités en masse à plusieurs reprises pour dérober des données à grande échelle, et la lignée du Storage Zones Controller a son propre précédent : en 2023, alors que le produit appartenait encore à Citrix, des attaquants ont activement exploité une faille non authentifiée (CVE-2023-24489) dans ce même contrôleur. La décision de Progress d'inviter ses clients à débrancher entièrement les serveurs, plutôt que de simplement appliquer un correctif, témoigne d'une menace jugée assez sérieuse pour qu'aucun correctif fiable ne soit encore disponible. Tant que Progress n'aura pas publié davantage de détails, les administrateurs exploitant des Storage Zone Controllers auto-hébergés font face à un choix ingrat entre une interruption prolongée et l'exposition à une menace que l'éditeur juge crédible mais qu'il n'a pas encore décrite.