Vulnerabilità del 29 settembre 2026

Già sfruttate in attacchi reali

Inserite da CISA nel catalogo delle vulnerabilità sfruttate: da aggiornare per prime.

• CVE-2026-86950 sfruttata fattore umano

  Vulnerabilità già sfruttata in attacchi reali, punteggio 8,8 su 10, in Multiple Products (Apple). Sfruttabile da remoto, via rete, senza credenziali, solo se una persona apre, clicca o installa qualcosa. Tipo: scrittura fuori dai limiti della memoria.

Allerte di CSIRT Italia

• Apple: rilevato sfruttamento in rete della CVE-2026-86950

  Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-86950 – già sanata dal vendor - che interessa i prodotti Apple iOS, iPadOS, macOS Tahoe e macOS Sequoia. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato l'esecuzione di codice arbitrario sui sistemi interessati.

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-102425 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in Balbooa Forms extension for Joomla (balbooa.com). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: iniezione di codice.

• CVE-2026-102828 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in git-js (steveukx). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.

• CVE-2026-101127 critica

  Vulnerabilità critica, punteggio 9,4 su 10, in Balbooa Forms extension for Joomla (balbooa.com). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: cross-site scripting (XSS).

• CVE-2026-102560 critica

  Vulnerabilità critica, punteggio 8,6 su 10, in Red Hat Enterprise Linux 10. Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: lettura fuori dai limiti della memoria.

• CVE-2026-102676 critica fattore umano

  Vulnerabilità critica, punteggio 8,3 su 10, in electron. Sfruttabile da remoto, via rete, senza credenziali, solo se una persona apre, clicca o installa qualcosa. Tipo: gestione errata dei privilegi.

• CVE-2026-102827 critica

  Vulnerabilità critica, punteggio 8,1 su 10, in git-js (steveukx). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: iniezione di comandi.

• CVE-2026-73595 critica fattore umano

  Vulnerabilità critica, punteggio 4,7 su 10, in Secure Connect Gateway (SCG) Policy Manager (Dell). Sfruttabile da remoto, via rete, senza credenziali, solo se una persona apre, clicca o installa qualcosa.