Vulnerabilità del 26 ottobre 2026

Già sfruttate in attacchi reali

Inserite da CISA nel catalogo delle vulnerabilità sfruttate: da aggiornare per prime.

• CVE-2026-109618 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 9,8 su 10, in PHP (PHP Group). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: uso di memoria dopo il rilascio (use after free).

• CVE-2026-109619 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 8,1 su 10, in PHP (PHP Group). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: uso di memoria dopo il rilascio (use after free).

Allerte di CSIRT Italia

• Siemens: risolta vulnerabilità in Mendix SAML

  Aggiornamenti di sicurezza Siemens sanano una vulnerabilità con gravità "alta" presente in Mendix SAML, modulo utilizzato per implementare l'autenticazione federata tramite SAML 2.0 e funzionalità di Single Sign-On (SSO) nelle applicazioni sviluppate con la piattaforma low-code Mendix. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di eludere i meccanismi di autenticazione sui sistemi interessati.

• IceWarp Server: aggiornamenti e mitigazioni per le vulnerabilità "PHP2Shell"

  Disponibili pacchetti di aggiornamento e istruzioni di mitigazione per IceWarp Server, suite di posta elettronica aziendale e collaborazione, al fine di fronteggiare le vulnerabilità critiche note come "PHP2Shell" (CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560) presenti nell'interprete PHP integrato nel prodotto.

• Google: disponibile PoC per lo sfruttamento della CVE-2026-111497

  Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-111497, presente nel decoder di Google Brotli, libreria open source ampiamente impiegata per la compressione e decompressione dei contenuti web e incorporata in numerosi prodotti e framework software, tra cui Node.js, DuckDB, Apache Arrow, .NET e diverse librerie Python.

• Rclone: disponibili PoC per numerose vulnerabilità

  Disponibili Proof of Concept per diverse vulnerabilità, già sanate dal vendor, presenti in Rclone, software open source per la sincronizzazione e il trasferimento di file verso servizi di archiviazione remota e cloud.

• Risolte vulnerabilità in Craft CMS

  Aggiornamenti di sicurezza sanano 2 vulnerabilità con gravità “alta”, in Craft CMS, noto strumento per la gestione di siti web e-commerce. Tali vulnerabilità potrebbero consentire a un attaccante remoto autenticato di eseguire codice arbitrario sui sistemi interessati.

• Operational Summary - settembre 2026

  Torna l’appuntamento mensile di CSIRT Italia sull’analisi e l’andamento della minaccia cyber con l’elenco delle vulnerabilità informatiche più gravi.

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-116508 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in A950RG (TOTOLINK). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: scrittura o lettura fuori dai limiti della memoria; buffer overflow sullo stack.

• CVE-2026-116231 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Pugongying X5 Pro (Oray). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-116506 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in A950RG (TOTOLINK). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: iniezione di comandi.

• CVE-2026-112346 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in OpenHands Software Agent SDK. Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-116485 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in danmu_api (huangxd-). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: funzione critica senza autenticazione.

• CVE-2026-116214 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in maccms10 (maccmspro). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-116233 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Pugongying X5 Pro (Oray). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-116234 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Pugongying X5 Pro (Oray). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-116505 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in A950RG (TOTOLINK). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: iniezione di comandi.