Vulnerabilità del 21 ottobre 2026

Allerte di CSIRT Italia

• Node.js: risolte molteplici vulnerabilità

  Rilasciati aggiornamenti di sicurezza che risolvono 10 vulnerabilità, di cui 4 con gravità “alta”, in Node.js, noto software open source per l’esecuzione di codice Javascript. Tra queste si evidenziano la CVE-2026-111497 e la CVE-2026-105482, per le quali risultano disponibili dei Proof of Concept (PoC) in rete.

• PHP2Shell: sanate vulnerabilità critiche in PHP

  Aggiornamenti di sicurezza sanano 2 nuove vulnerabilità con gravità "critica" in PHP, noto interprete del linguaggio di scripting per lo sviluppo web. Tali vulnerabilità interessano la componente php-src e, qualora sfruttate, potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati.

• Aggiornamenti di sicurezza per prodotti Cisco

  Cisco ha rilasciato aggiornamenti di sicurezza per risolvere 34 vulnerabilità nei propri prodotti, di cui 5 con gravità “critica” e 17 con gravità “alta”.

• Risolte vulnerabilità in ISC BIND 9

  ISC ha rilasciato aggiornamenti di sicurezza per BIND 9 e BIND Supported Preview Edition, software per la gestione e la risoluzione delle richieste DNS, che sanano 4 vulnerabilità con gravità "alta". Tali vulnerabilità possono permettere l'esecuzione di codice arbitrario o compromettere la disponibilità del servizio sui sistemi interessati.

• Ollama: disponibile PoC per lo sfruttamento della CVE-2026-103663

  Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-103663 presente in Ollama, noto motore di inferenza open source che consente di eseguire LLM in locale. Tale vulnerabilità potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario sui sistemi interessati.

• Rilevate vulnerabilità in prodotti Acronis

  Rilevate due vulnerabilità di sicurezza, di cui una con gravità "alta", in Acronis Cyber Infrastructure. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato l'accesso ad informazioni sensibili e la manipolazione di dati sui sistemi interessati.

• Risolte vulnerabilità in prodotti SolarWinds

  Aggiornamenti di sicurezza risolvono 4 vulnerabilità, di cui 1 con gravità "alta", presenti in SolarWinds Observability Self-Hosted, piattaforma per il monitoraggio di reti, server, applicazioni e ambienti cloud ibridi. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato autenticato con bassi privilegi di accedere e modificare informazioni sensibili sui sistemi interessati.

• Risolte vulnerabilità in Apache Tomcat

  Rilasciati aggiornamenti di sicurezza per sanare alcune vulnerabilità, di cui 3 con gravità “critica”, in Apache Tomcat, noto server web open source sviluppato da Apache Software Foundation. Tali vulnerabilità potrebbero consentire a un attaccante remoto non autenticato di eludere i meccanismi di autenticazione o di accedere a informazioni sensibili sui sistemi interessati.

• Risolte vulnerabilità in Google Chrome

  Google ha rilasciato un aggiornamento per il browser Chrome al fine di correggere 353 nuove vulnerabilità di sicurezza, di cui 6 con gravità “critica” e 61 con gravità “alta”.

• Critical Patch Update di Oracle

  Oracle ha rilasciato il Critical Patch Update di ottobre che mira a correggere numerose vulnerabilità su più prodotti, di cui 64 con gravità “critica” e 383 con gravità “alta”.

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-113744 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in AC19 (Tenda). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: scrittura o lettura fuori dai limiti della memoria; buffer overflow sullo stack.

• CVE-2026-114382 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in EX200 (TOTOLINK). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: scrittura o lettura fuori dai limiti della memoria; buffer overflow sullo stack.

• CVE-2026-114383 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in EX200 (TOTOLINK). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: scrittura o lettura fuori dai limiti della memoria; buffer overflow sullo stack.

• CVE-2026-114268 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in BE3L Pro (Tenda). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: scrittura o lettura fuori dai limiti della memoria; buffer overflow.

• CVE-2026-109618 criticapoi sfruttata

  Vulnerabilità critica, punteggio 9,8 su 10, in PHP (PHP Group). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: uso di memoria dopo il rilascio (use after free).

• CVE-2026-113736 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in DHP-W610AV (D-Link). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-114108 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Vibe-Trading (HKUDS). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: funzione critica senza autenticazione.

• CVE-2026-114119 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Bp Premier (Best Practice Software). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: credenziali scritte nel codice.