Monsta FTP Güvenlik Açığı Binlerce Sunucunun Tam Ele Geçirilmesine Yol Açtı

Web tabanlı bir dosya yönetim uygulaması olan Monsta FTP'nin, bilgisayar korsanlarının bir web sunucusunu tamamen ele geçirmesine olanak tanıyabilecek ciddi bir güvenlik sorununa sahip olduğu yakın zamanda tespit edildi.

Siber güvenlik firması watchTowr, bu sorunu keşfedip Hackread.com ile paylaştığı teknik bir blog yazısında bildirdi. Bilginize, Monsta FTP, kullanıcıların web sitesi dosyalarını doğrudan bir web tarayıcısı üzerinden taşımasına ve yönetmesine, yükleme, indirme ve düzenleme yapmasına olanak tanıyan kullanışlı bir araçtır. Bu, onu büyük finans kuruluşlarından bireysel web sitesi sahiplerine kadar kullanıcılar arasında, ayrı bir bilgisayar yazılımı yüklemeye alternatif olarak popüler bir seçenek haline getirir.

Bu keşfe yol açan araştırma, watchTowr'un Monsta FTP'deki eski ve bilinen güvenlik açıklarını, özellikle de 2.10.4 gibi sürümleri incelediği sırada başladı. Ekip, Sunucu Tarafı İstek Sahteciliği (SSRF) ve keyfi dosya yükleme sorunları ( CVE-2022-31827 , CVE-2022-27469 ve CVE-2022-27468 ) gibi daha da eski bir sürümde (2.10.3) bildirilen kusurların hâlâ mevcut olabileceğinden şüpheleniyordu.

Daha detaylı incelemeler, eski sürümlerin de aynı koruma eksikliğini paylaştığını ortaya çıkardı. Bu durum, ekibin mevcut sürümü incelemesine yol açtı ve sonunda yeni ve büyük bir güvenlik açığı buldular.

Artık resmi olarak CVE-2025-34299 olarak tanımlanan sorun, ciddi bir ön kimlik doğrulama açığıydı. Bu, saldırganların kullanıcı adı veya parolaya ihtiyaç duymadan, oturum açmadan önce bile kullanabilecekleri ve Uzaktan Kod Yürütme ( RCE ) işlemine yol açabilecekleri anlamına geliyor.

RCE, uzaktaki bir bilgisayar korsanının hedef sunucuda kendi kodunu çalıştırmasına olanak tanıdığı için en kötü güvenlik açığı türüdür. Bu durumda, CVE-2025-34299, bilgisayar korsanının Monsta FTP sistemini, kontrol ettiği bir dosyayı (kötü amaçlı kodu içeren) indirmesi ve kurbanın sunucusunda istediği herhangi bir yere kaydetmesi için kandırmasına olanak sağlamıştır.

WatchTowr, raporunda bu yöntemin işe yaradığını doğrulayarak, "Bağlandı, yükümüzü çekti ve belirtilen yola yazdı" ifadesini kullandı. Bazen 'web kabuğu ' olarak da adlandırılan kötü amaçlı bir dosyayı bırakma yeteneği, saldırganın tüm sunucu veya barındırma ortamının tam kontrolünü ele geçirebileceği anlamına geliyor. Analizlerine göre, internette en az 5.000 Monsta FTP örneği mevcuttu; bu da çok sayıda web sunucusunun risk altında olduğu anlamına geliyor.

WatchTowr, Monsta FTP geliştirme ekibini 13 Ağustos 2025'te bu kritik güvenlik açığı konusunda uyardı. Geliştiriciler hızla yanıt verdi ve 26 Ağustos 2025'te yamalı bir sürüm olan Monsta FTP 2.11.3 yayınlandı. Siz veya kuruluşunuz Monsta FTP kullanıyorsa, web sunucunuzun güvenliğini sağlamak için derhal 2.11.3 veya sonraki bir sürüme güncelleme yapmalısınız.