CVE-2025-10035

Esta es una falla de deserialización en el License Servlet de GoAnywhere MFT de Fortra. El servlet deserializa un objeto de respuesta de licencia y, si un atacante puede presentar una firma de licencia que el servidor acepte como válida, deserializará un objeto arbitrario controlado por el atacante. Esa reconstrucción dispara una cadena de gadgets que conduce a la inyección de comandos en el host. La condición limitante es falsificar una firma válida, pero donde eso sea alcanzable el resultado es la ejecución de código no autenticada en el servidor de transferencia de archivos.

GoAnywhere MFT es un producto de transferencia gestionada de archivos, la misma categoría de alto valor detrás de las campañas del grupo Clop contra MOVEit y el anterior GoAnywhere, así que los datos que alberga son exactamente el material regulado y sensible que las organizaciones mueven entre socios, y estos servidores suelen estar expuestos a Internet. El propio zero-day anterior de GoAnywhere de Fortra fue explotado masivamente por Clop con fines de extorsión, lo que marca la expectativa de la rapidez con que esta clase atrae la conversión en arma una vez que circulan los detalles. Parchea a la versión corregida de GoAnywhere de inmediato y, como defensa en profundidad, asegúrate de que la consola de administración y el License Servlet no estén expuestos a Internet. Dado el historial, busca señales de ejecución de comandos y salida de datos anómala en lugar de confiar solo en el parche.