Due vulnerabilità critiche in Bricksforge e GitLab, insieme a una zero-day in PAN-OS di Palo Alto Networks, mettono in guardia su esecuzioni di codice remoto e la necessità di aggiornamenti urgenti.
Il panorama della cybersecurity è stato recentemente scosso da nuove scoperte allarmanti che riguardano vulnerabilità di massima gravità, con potenziali scenari di Remote Code Execution (RCE) su piattaforme ampiamente utilizzate. Queste minacce evidenziano la continua evoluzione delle tattiche degli attaccanti e l'importanza cruciale di mantenere aggiornati i sistemi di sicurezza.
Una falla critica precedentemente identificata nel plugin Bricksforge per WordPress, tracciata come CVE-2026-85097, continua a rappresentare una seria minaccia. Questa vulnerabilità, che affligge le versioni fino alla 3.1.8.9, permette ad attaccanti non autenticati di caricare ed eseguire codice PHP arbitrario sui siti web vulnerabili. La patch correttiva è disponibile nelle versioni 3.1.8.10 e successive.
Bricksforge, uno strumento essenziale per personalizzare siti WordPress creati con Bricks Builder, offre funzionalità avanzate. La vulnerabilità risiede nella gestione dei caricamenti di file durante l'invio di moduli. Il plugin, pur effettuando una validazione iniziale del tipo MIME, si affida successivamente a metadati forniti dal client, in particolare nel campo 'url' del parametro 'temporaryFileUploads', che non viene adeguatamente sanificato. Questo permette a un attaccante di caricare un file poliglotta (sia immagine che PHP) e poi manipolare i metadati per far sì che il server sposti ed esegua il payload PHP.
Le analisi di sicurezza hanno rilevato tentativi di sfruttamento attivo a partire dal 7 ottobre 2026. Gli attaccanti hanno dimostrato di utilizzare diverse tecniche di offuscamento, come estensioni PHP alternative (.php5, .phtml), manipolazione delle maiuscole/minuscole (.PHP), codifica URL (.%70hp) e doppia codifica, per aggirare i filtri di sicurezza. Gli attacchi sono stati osservati principalmente contro l'endpoint REST API di Bricksforge (POST /wp-json/bricksforge/v1/form_submit), ma anche contro admin-ajax.php. L'infrastruttura degli attaccanti appare distribuita, con numerosi indirizzi IP che utilizzano proxy rotanti per rendere più difficile l'attribuzione.
Le raccomandazioni rimangono chiare: aggiornare immediatamente Bricksforge alla versione più recente (4.0.1 o superiore) e monitorare attentamente i log per attività sospette. È inoltre consigliabile effettuare verifiche storiche sui log e sulle modifiche ai file per individuare eventuali compromissioni pregresse.
Parallelamente, GitLab ha rilasciato aggiornamenti per correggere una falla di massima gravità (CVSS 10.0) che interessa sia la Community Edition (CE) che l'Enterprise Edition (EE). La vulnerabilità, identificata come CVE-2026-97229, consente a utenti non autenticati di eseguire codice arbitrario sul server GitLab. Il problema deriva da una validazione insufficiente delle espressioni regolari all'interno delle configurazioni CI/CD, che può portare a un integer overflow.
Le versioni affette includono tutte le versioni da 19.2 prima della 19.2.8, da 19.3 prima della 19.3.5, e da 19.4 prima della 19.4.2. Le patch sono disponibili nelle versioni 19.4.2, 19.3.5 e 19.2.8.
Questa scoperta segue di poche settimane la risoluzione di un'altra grave vulnerabilità in GitLab AI Gateway (CVE-2026-90970, CVSS 9.9), che poteva portare all'esecuzione di comandi arbitrari. Inoltre, il mese precedente era stata corretta una falla simile (CVE-2026-85706, CVSS 10.0) che aveva visto tentativi di sfruttamento in natura quasi immediatamente dopo la divulgazione pubblica.
GitLab ha anche affrontato tre vulnerabilità ad alta gravità:
Le preoccupazioni per la sicurezza si estendono anche al mondo delle infrastrutture di rete, con Palo Alto Networks che ha rilasciato aggiornamenti per una zero-day di elevata gravità, tracciata come CVE-2026-0322. Questa vulnerabilità, con un punteggio CVSS di 8.6, è stata sfruttata in attacchi mirati ai firewall dell'azienda.
La falla interessa l'interfaccia di gestione di PAN-OS e consente ad attaccanti autenticati con accesso di rete di eseguire codice come root sui dispositivi vulnerabili. Palo Alto Networks ha confermato di aver osservato uno sfruttamento limitato della falla in attacchi. Per sfruttare la vulnerabilità, gli attaccanti necessitano di credenziali esistenti e accesso di rete all'interfaccia di gestione di PAN-OS. Di conseguenza, l'azienda raccomanda di limitare l'accesso a questa interfaccia solo a indirizzi IP interni fidati.
Sono state rilasciate patch per le versioni interessate di PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2, con una correzione prevista per la 11.2.16 entro il 15 ottobre. I clienti che utilizzano versioni più vecchie e non più supportate sono invitati a eseguire l'aggiornamento a una versione supportata. Non sono noti workaround, ma le sottoscrizioni Threat Prevention offrono una protezione limitata contro pattern di attacco noti.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto CVE-2026-0322 al suo catalogo di vulnerabilità note e sfruttate, richiedendo alle agenzie federali civili di mitigare la vulnerabilità entro il 17 ottobre.
La concomitanza di queste scoperte, che includono vulnerabilità critiche in piattaforme come WordPress e GitLab, oltre a una zero-day in un fornitore di sicurezza di primo piano come Palo Alto Networks, sottolinea la persistente efficacia degli attacchi basati sull'esecuzione remota di codice. L'importanza di mantenere aggiornati tutti i software, specialmente quelli esposti su Internet, è più critica che mai.
Per gli utenti di Bricksforge e GitLab, l'aggiornamento tempestivo alle versioni patchate è la difesa più efficace. Per quanto riguarda PAN-OS, oltre all'aggiornamento, è fondamentale limitare l'accesso all'interfaccia di gestione. La vigilanza sui log e l'implementazione di misure di sicurezza proattive rimangono fondamentali per mitigare i rischi derivanti da queste e future minacce.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
