Nuove falle di sicurezza critiche emergono nel panorama tecnologico, colpendo tool essenziali come Curl e framework web come Next.js e Drupal. Le vulnerabilità RCE richiedono aggiornamenti urgenti.
La settimana si conferma un periodo di alta tensione nel settore della cybersecurity, con la scoperta e la correzione di diverse vulnerabilità critiche che interessano componenti software fondamentali. Dopo le recenti patch per Curl e Next.js, ora emerge una falla di sicurezza di pari gravità nel popolare CMS Drupal, mettendo in luce la persistente fragilità delle infrastrutture digitali.
Il Drupal Security Team ha rilasciato aggiornamenti correttivi per una vulnerabilità critica nel modulo Field UI del core di Drupal, identificata come CVE-2026-108097. Questa falla, valutata con un punteggio di 19 su 25 sulla scala di rischio interna di Drupal (livello critico), potrebbe consentire a un attaccante non autenticato di eseguire codice arbitrario sul server. Sebbene la vulnerabilità non sia direttamente sfruttabile tramite il core di Drupal da solo, diversi moduli contribuiti e codice personalizzato possono esporre questo percorso di attacco, con almeno un percorso noto che non richiede alcuna forma di login.
Il modulo Field UI è responsabile delle pagine di amministrazione per la gestione dei campi e delle loro modalità di visualizzazione. Il problema risiede nella gestione dei render array, dove un passaggio di pre-rendering non validava adeguatamente le callback PHP, permettendo l'esecuzione di codice non fidato tramite call_user_func_array. La correzione, introdotta nelle versioni 11.4.10, 11.3.19 e 10.6.19, impedisce l'esecuzione di callback non attendibili.
Per le organizzazioni che non possono aggiornare immediatamente, una misura temporanea consiste nella disinstallazione del modulo field_ui. Tuttavia, ciò comporterebbe l'indisponibilità delle pagine di amministrazione per la gestione dei campi. È importante notare che il modulo Field UI è incluso nel profilo di installazione standard di Drupal, rendendolo potenzialmente attivo su molti siti.
Le preoccupazioni di sicurezza non si fermano a Drupal. Le recenti correzioni per Curl e Next.js continuano a richiedere l'attenzione degli amministratori di sistema. Nel caso di Curl, la vulnerabilità CVE-2026-92392 legata alla gestione del protocollo HTTP/2 e al problema di use-after-free durante gli upload, sebbene complessa da sfruttare, rappresenta un rischio significativo. L'aggiornamento alla versione 8.23.0 è fondamentale, con la disabilitazione temporanea di HTTP/2 come workaround in assenza di patch.
Per quanto riguarda Next.js, le due vulnerabilità di esecuzione di codice remoto (RCE) e il bug di Denial of Service (DoS) continuano a destare allarme. La falla nell'API di ottimizzazione delle immagini (CVE-2026-96889), che sfrutta una libreria upstream per l'elaborazione di file SVG, è particolarmente insidiosa in quanto non richiede autenticazione. Gli ambienti basati su glibc sono i più esposti, mentre quelli su musl sembrano immuni. L'aggiornamento a 16.4.1 o 15.5.28 e la verifica della dipendenza sharp (versione minima 0.35.5) sono passi cruciali.
La seconda vulnerabilità RCE in Next.js, che interessa l'App Router e il componente di cache, non presenta workaround noti e impone l'aggiornamento immediato. Analogamente, la falla DoS relativa alle Server Actions richiede l'applicazione delle patch per prevenire blocchi del servizio.
La concomitanza di queste scoperte sottolinea la necessità di un approccio proattivo alla sicurezza. Per i team IT e gli sviluppatori, le priorità rimangono l'aggiornamento tempestivo dei software interessati, l'audit delle dipendenze e l'inventario delle applicazioni per identificare e proteggere i sistemi più esposti. Il monitoraggio dei log per attività sospette è altresì essenziale.
Sebbene al momento non vi siano prove diffuse di sfruttamento attivo per la maggior parte di queste vulnerabilità, la loro natura critica e, in alcuni casi, la mancanza di requisiti di autenticazione, le rendono bersagli appetibili per attacchi futuri. La rapida diffusione di dettagli tecnici nella comunità di ricerca potrebbe accelerare la comparsa di exploit.
È inoltre emersa una vulnerabilità critica separata nel modulo Entity List di Drupal (CVE-2026-108099), con condizioni di sfruttamento simili a quella del Field UI. Anche due falle di cross-site scripting (XSS) di media criticità sono state corrette nei moduli Link e Navigation.
La community di Drupal è invitata a procedere con gli aggiornamenti raccomandati, tenendo conto che le versioni più vecchie di Drupal 10 e 11 perderanno il supporto di sicurezza a dicembre 2026. Per Drupal 7, una versione patchata è disponibile tramite il supporto a lungo termine offerto da Tag1 Consulting.
In sintesi, la sicurezza informatica richiede vigilanza costante e un impegno continuo nell'aggiornamento e nella gestione delle vulnerabilità, specialmente quando riguardano componenti software ampiamente diffusi e critici per il funzionamento di innumerevoli servizi online.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
