Il 10 luglio Progress Software ha diramato un avviso insolito ai clienti di ShareFile: spegnere manualmente i server on-premise che ospitano gli Storage Zone Controller. Non un aggiornamento da installare, ma proprio lo spegnimento fisico della macchina, a fronte di una «minaccia esterna credibile». La raccomandazione ufficiale è netta: bisogna spegnere a mano il server che ospita gli Storage Zone Controller, definito «un passaggio aggiuntivo critico per garantire la sicurezza dei dati». La vicenda è tuttora in corso: l’accesso viene ripristinato gradualmente mentre quei componenti restano disattivati.
Cos’è ShareFile (e cosa sono gli Storage Zone Controller)
ShareFile è un servizio di condivisione e trasferimento file usato per scambiare documenti con clienti, fornitori e collaboratori: pensato per file troppo grandi o troppo riservati per la posta, è diffuso tra studi professionali, agenzie e PMI che maneggiano contratti, pratiche e materiali sensibili.
La parte che qui fa la differenza sono gli Storage Zone Controller: server Windows installati in azienda (on-premise) che alcune organizzazioni usano per tenere i file dentro la propria infrastruttura, appoggiandosi al cloud ShareFile solo per accesso e gestione. È esattamente questo pezzo on-premise a essere finito nel mirino. Chi usa solo la versione cloud, senza Storage Zone Controller propri, si trova in una posizione diversa.
La richiesta di spegnimento riguarda gli Storage Zone Controller: server Windows on-premise che alcune aziende ospitano internamente. Chi usa ShareFile solo in cloud, senza questi controller propri, non deve spegnere nulla. Il primo passo è capire quale delle due configurazioni hai.
Cosa si sa (e cosa no) sulla minaccia
Progress parla di una minaccia esterna credibile ma fornisce pochi dettagli, e dichiara di non avere «indicazioni di accessi non autorizzati» ad account o dati ShareFile. In altre parole: misura precauzionale forte, nessun furto di dati confermato al momento.
Sul fronte tecnico, l’avviso ufficiale non indica un CVE. Alcuni ricercatori di sicurezza ipotizzano il concatenamento di due vulnerabilità (identificate come CVE-2026-2699 e CVE-2026-2701) per ottenere l’esecuzione di codice da remoto senza autenticazione su installazioni on-premise non aggiornate: è una tesi degli analisti, non una conferma dell’azienda. Le testate richiamano un precedente pesante — l’attacco del 2023 al software MOVEit Transfer, sempre di Progress, sfruttato dal gruppo ransomware Clop per colpire migliaia di organizzazioni. È il motivo per cui i software di trasferimento file restano un bersaglio ambito: custodiscono i dati più sensibili di un’azienda.
La richiesta di spegnimento riguarda gli Storage Zone Controller ospitati in azienda su server Windows, non gli account cloud, che Progress non segnala come compromessi. Avviso del 10 luglio 2026, situazione in corso.
Fonte: BleepingComputer, The Hacker News, Help Net Security — luglio 2026
Cosa fare, in concreto
- Se ospiti tu gli Storage Zone Controller (o lo fa il tuo reparto IT): segui l’indicazione di Progress e tieni spenti i server on-premise finché l’azienda non dà il via libera, applicando poi le patch disponibili. È la mossa d’emergenza indicata dal produttore.
- Se usi ShareFile solo in cloud o te lo gestisce un fornitore: non devi spegnere nulla a mano, ma puoi chiedere. Una mail di due righe a chi vi segue l’IT — «usiamo ShareFile? abbiamo Storage Zone Controller on-premise? sono stati messi in sicurezza dopo l’avviso Progress del 10 luglio?» — è legittima e ti dà una risposta certa.
- La lezione che vale per tutti: i tool di scambio file vanno tenuti aggiornati, non esposti a internet più del necessario e con backup offline dei dati. Dopo MOVEit, è la seconda volta che un software Progress di trasferimento file finisce sotto attacco: non è sfortuna, è una categoria di prodotti che i criminali guardano con attenzione.
In breve
Il 10 luglio Progress ha chiesto ai clienti ShareFile di spegnere i server on-premise che ospitano gli Storage Zone Controller, per una «minaccia esterna credibile»; gli account cloud non risultano compromessi e non ci sono accessi non autorizzati confermati. L’avviso non cita un CVE ufficiale: le vulnerabilità concatenate ipotizzate dai ricercatori restano una tesi da confermare. Chi ospita i controller li tiene spenti e applica le patch; chi usa solo il cloud o ha un fornitore chiede conferma. Con l’eco di MOVEit alle spalle, resta il promemoria di base: i software di trasferimento file vanno aggiornati e affiancati da backup offline.