Apache SFTP Library Default Disabled Host Key Verification Enables MitM (CVE-2026-94135)

Vulnerability Overview CVE ID: CVE-2026-94135 Title: Apache SFTP Library from Apache Software Foundation Disables Host Key Verification by Default Description: The Python implementation of the Apache SFTP library ( ) disables host key verification by default. This may lead to man-in-the-middle attacks, as the client does not verify the server's identity. Severity: Medium CVSS Score: 7.0/10 Scope of Impact Affected Product: Apache SFTP Library from Apache Software Foundation Affected Versions: All versions are affected under default configuration, especially versions prior to 0.7.0 Remediation Recommended Actions: Users should upgrade to the latest version and enable the host key verification feature. Reference Links: - https://github.com/apache/sftp/releases/tag/v0.7.0 - https://nvd.nist.gov/vuln/detail/CVE-2026-94135 - [https://lists.apache.org/thread/5h4yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL8z7yL

Goal Reached Thanks to every supporter — we hit 100%!

Apache SFTP Library Default Disabled Host Key Verification Enables MitM (CVE-2026-94135)