Op internet zijn er zo'n 1800 CrushFTP-servers te vinden, waaronder meer dan zestig in Nederland, die een kwetsbaarheid bevatten waardoor een ongeauthenticeerde aanvaller toegang tot de server kan krijgen. Dat laat de Shadowserver Foundation op basis van eigen onderzoek weten. Beveiligingsupdates zijn sinds een week beschikbaar. Een CVE-nummer om de kwetsbaarheid mee aan te geven nog altijd niet. Ook heeft de ontwikkelaar van de FTP-serversoftware nog geen details vrijgegeven.

De eerste versie van CrushFTP dateert van 1998. De software ondersteunt verschillende protocollen, zoals ftp, ftps, sftp, http, https, WebDAV en WebDAV SSL. Volgens de ontwikkelaars maakt de kwetsbaarheid het mogelijk voor aanvallers om ongeauthenticeerde toegang te krijgen als er een http- of https-poort van de ftp-server toegankelijk is. Verdere details zijn niet gegeven, behalve dat het probleem is verholpen in CrushFTP versie 10.8.4+ en versie 11.3.1+.

De Shadowserver Foundation is een stichting die zich bezighoudt met de bestrijding van cybercrime en voert regelmatig online scans uit naar kwetsbaarheden in populaire producten. Bij de laatste scan werd gekeken naar CrushFTP-servers. In totaal werden 1800 kwetsbare servers ontdekt. Het grootste deel, meer dan 900, staat in de Verenigde Staten. In Nederland zou het om 64 servers gaan. Volgens de ontwikkelaars wordt er nog geen actief misbruik van het beveiligingslek gemaakt. In het verleden zijn CrushFTP-servers wel aangevallen via een andere kwetsbaarheid.