Vulnerabilità pericolose emerse di recente che consentono l'accesso root al sistema o l'esecuzione remota di codice:
- 20 vulnerabilità in Apache httpd, tra cui un overflow del buffer in mod_vhost_alias (CVE-2026-63292), che potrebbe consentire l'esecuzione remota di codice tramite l'invio di una richiesta HTTP con un'intestazione Host troppo grande. La vulnerabilità si manifesta quando si utilizza un specificatore di sostituzione del nome host nella direttiva VirtualDocumentRoot e si aumenta il limite di LimitRequestFieldSize.
Tra i problemi pericolosi ci sono: accesso alla memoria dopo la sua liberazione in mod_rewrite utilizzando la costruzione %{LA-U:HTTP:…} (CVE-2026-56154); overflow del buffer in mod_charset_lite (CVE-2026-56153); accesso a memoria già liberata in mod_http2 (CVE-2026-57941); overflow del buffer durante l'analisi dei percorsi dei file in Windows (CVE-2026-59685); overflow aritmetico in mod_dav_fs (CVE-2026-93546). I problemi sono stati risolti nella versione 2.4.69.
- 9 vulnerabilità in FreeBSD. Tra i problemi identificati: overflow del buffer che porta all'esecuzione di codice a livello di kernel durante la manipolazione della chiamata di sistema semop (CVE-2026-58098); elevazione dei privilegi a causa dell'accesso alla memoria dopo la sua liberazione in kqueue (CVE-2026-58099); uscita dai confini della directory radice dell'ambiente jail isolato (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); crash del kernel a causa dell'invio di un pacchetto di rete appositamente formattato quando KTLS è attivato (CVE-2026-101302); bypass dei meccanismi di isolamento di rete nella jail (CVE-2026-101303). Le vulnerabilità sono state corrette negli aggiornamenti FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 e 14.4-RELEASE-p10.
- 6 vulnerabilità in LibreOffice, che durante l'apertura di documenti appositamente formattati possono portare all'esecuzione di codice (CVE-2026-63277, exploit), alla scrittura in file arbitrari (CVE-2026-63266) o alla fuoriuscita di contenuti di file locali (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). I problemi sono stati risolti in LibreOffice 26.2.5 e 26.8.0.
- Vulnerabilità (CVE-2026-59265, exploit) in Apache OpenOffice, che possono portare all'esecuzione di codice all'apertura di documenti appositamente formattati a causa di un errore nelle funzioni di integrazione con Java. Il problema sarà risolto nella versione 4.1.17, attualmente in fase di testing del candidato alla release.
- Vulnerabilità in server vulnerabilità di CUPS. Attualmente sono state rivelate solo informazioni su 14 problemi con un livello di pericolo inferiore a 7 (CVSS), e un elenco di problemi più pericolosi sarà pubblicato dopo la scadenza dell'embargo, concedendo tempo per apportare correzioni nelle distribuzioni. Le vulnerabilità più critiche rivelate consentono l'escalation dei privilegi (CVE non assegnato) e l'esecuzione remota di codice con i diritti dell'utente lp (CVE-2026-55453) quando si accede a una stampante IPP controllata da un malintenzionato. I problemi sono stati risolti nell'uscita CUPS 2.4.20.
- Vulnerabilità (CVE-2026-80521, exploit) nel kernel Linux, che consente l'accesso al sistema host da un container isolato. La vulnerabilità è causata da una condizione di race nell'implementazione dei socket AF_UNIX, che porta a un accesso alla memoria dopo il suo rilascio, sfruttabile per eseguire codice arbitario a livello di kernel. Il problema è stato risolto negli aggiornamenti di agosto del kernel.
- Per Debian GNU/Linux 13 è stato pubblicato un aggiornamento del pacchetto con il kernel Linux 6.12.111-1, che ha corretto 1313 vulnerabilità.
- Vulnerabilità (CVE-2026-94545) nella piattaforma Next.js, che consente l'esecuzione remota di codice sul server senza autenticazione, tramite l'invio di una richiesta per generare un'immagine SVG, in presenza di un gestore sul server per l'anteprima delle immagini OG (Open Graph). Il problema è legato a una vulnerabilità nella libreria Satori utilizzata per convertire HTML e CSS in SVG. La vulnerabilità è dovuta all'assenza di un'adeguata verifica dei caratteri di escape prima della loro sostituzione nel file SVG, che potrebbe essere sfruttata per aggiungere un tag nel markup SVG, che veniva eseguito sul server durante la conversione da SVG a formato raster. Il problema è stato risolto in Satori 0.33.5 e Next.js 15.5.26, 16.3.6 e 16.4.0.
- Vulnerabilità (CVE-2026-33937, CVE-2026-106445) nella libreria JavaScript handlebars.js, che conta 50 milioni di download a settimana e 17.000 progetti dipendenti. Le vulnerabilità consentono l'esecuzione remota di codice JavaScript sul server (quando si utilizza la libreria con Node.js) tramite l'inserimento nel template engine di oggetti AST (Abstract Syntax Tree) già formati oltre ai template di stringa. I problemi sono stati risolti nella versione 4.7.10.
- Nella libreria crittografica wolfSSL 5.9.4 sono state corrette 11 vulnerabilità, delle quali le più gravi consentono di eludere l'autenticazione tramite l'uso di certificati falsi.
- 6 vulnerabilità nel sistema di pacchetti autonomi Flatpak, tra cui problemi che consentono di eliminare (CVE-2026-97023) e scrivere (CVE-2026-97024) file nel sistema principale con privilegi di root, nonché di inviare segnali ai processi al di fuori dell'ambiente isolato (CVE-2026-97029). I problemi sono stati risolti nella versione Flatpak 1.18.4.
- Una vulnerabilità nella libreria PCRE2, causata da un buffer overflow nel compilatore JIT delle espressioni regolari. È stato preparato un exploit che consente l'esecuzione remota di codice in progetti PHP, come phpMyAdmin, durante l'elaborazione di un'espressione regolare specificata dall'attaccante nelle funzioni basate su PCRE2. Il problema è stato risolto nella versione libpcre2 10.49.
- 14 vulnerabilità nella libreria crittografica OpenSSL, le più pericolose delle quali possono portare a perdite di contenuto della memoria del processo durante le manipolazioni con la negoziazione della connessione DTLS (CVE-2026-84782), accesso alla memoria dopo che è stata liberata durante l'accesso simultaneo a un certificato X.509 da thread diversi (CVE-2026-84783), ricostruzione di chiavi private attraverso l'analisi dei tempi di esecuzione delle operazioni tramite canali secondari durante la generazione di firme SM2 e brainpoolP384r1 (CVE-2026-54872, CVE-2026-77696). I problemi sono stati risolti nelle versioni OpenSSL 4.0.3, 3.6.5, 3.5.9 e 3.4.8.
- È stato pubblicato un exploit per una vulnerabilità nel DBMS PostgreSQL (CVE-2026-15742), che consente di eseguire codice sul server con i diritti dell'utente sotto il quale viene eseguito il DBMS, inviando valori appositamente formattati alle funzioni SQL levenshtein() e levenshtein_less_equal(). La vulnerabilità è stata risolta nelle versioni PostgreSQL 18.6, 17.11, 16.15, 15.19 e 14.24.
- Negli aggiornamenti della piattaforma di sviluppo collaborativo Gitea 28.0.0 e 28.1.0 sono state risolte decine di vulnerabilità, tra cui l'invio di una pull request eludendo il meccanismo di conferma delle modifiche (CVE-2026-104632), l'esecuzione di codice nel CI da un fork (CVE-2026-94205), elusione dell'autenticazione nel server SSH integrato a causa dell'ignorare la distinzione maiuscole/minuscole durante la selezione dal DB (CVE-2026-103059).
- Buffer overflow (CVE-2026-102633) nella libreria libexpat, che si verifica su piattaforme a 32 bit durante l'elaborazione di file XML appositamente formattati. Il problema è stato risolto nella versione 2.9.0.
- Due vulnerabilità nel pacchetto FreeIPMI per la gestione serverche supportano l'interfaccia IPMI (Intelligent Platform Management Interface). Una delle vulnerabilità porta a un overflow del buffer durante l'elaborazione di un nome host appositamente formattato. I problemi sono stati risolti nella versione FreeIPMI 1.6.20.
- Nel progetto Lightwell, IBM e Red Hat hanno identificato e preparato correzioni per oltre 400 vulnerabilità nelle librerie open source in Java.
Fonte: opennet.ru
