Vulnerabilità del 20 ottobre 2026

Già sfruttate in attacchi reali

Inserite da CISA nel catalogo delle vulnerabilità sfruttate: da aggiornare per prime.

• CVE-2026-106931 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 7,8 su 10, in SiteGuard Server Edition (EG Secure Solutions). Richiede accesso al dispositivo, con un account già valido, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.

• CVE-2026-96656 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 7,2 su 10, in Media Server (Plex). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-96655 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 4,3 su 10, in Media Server (Plex). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: richieste lato server verso indirizzi scelti dall'attaccante (SSRF).

• CVE-2026-96654 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 6,5 su 10, in Media Server (Plex). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-96652 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 4,3 su 10, in Media Server (Plex). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: richieste lato server verso indirizzi scelti dall'attaccante (SSRF).

• CVE-2026-110936 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 6,7 su 10, in Software Center (Siemens). Richiede accesso al dispositivo, con un account già valido, senza che nessuno faccia nulla.

Allerte di CSIRT Italia

• Risolte vulnerabilità in Roundcube Webmail

  Rilasciati aggiornamenti di sicurezza per risolvere 20 vulnerabilità, di cui 6 con gravità “alta”, in Roundcube Webmail, noto gestore di posta elettronica open source. Tali vulnerabilità, qualora sfruttate, potrebbero consentire ad un attaccante remoto di eludere meccanismi di sicurezza e di manipolare dati e contenuti sui sistemi interessati.

• Risolte vulnerabilità in Stormshield Network Security

  Stormshield ha rilasciato aggiornamenti di sicurezza per sanare alcune vulnerabilità, di cui 2 con gravità “alta”, nel prodotto Stormshield Network Security. Tali vulnerabilità potrebbero consentire a un attaccante non autenticato di eludere i meccanismi di autenticazione sui sistemi interessati.

• Vulnerabilità in MongoDB

  MongoDB ha rilasciato aggiornamenti di sicurezza che sanano una vulnerabilità con gravità "alta" nella libreria PHP Driver. Tale vulnerabilità, qualora sfruttata, potrebbe permettere a un utente malintenzionato remoto di compromettere la disponibilità del servizio sui sistemi interessati.

• Plex Media Server: rilevato sfruttamento in rete delle catena di attacco Plex2Shell

  Rilevato lo sfruttamento attivo in rete delle vulnerabilità CVE-2026-96652 CVE-2026-96654 CVE-2026-96655 e CVE-2026-96656 - già sanate dal vendor - relative a Plex Media Server. Si evidenzia che risulta disponibile in rete un Proof of Concept (PoC) per lo sfruttamento concatenato di tali vulnerabilità.

• Vulnerabilità in prodotti ASUS

  ASUS ha rilasciato aggiornamenti di sicurezza per sanare 3 vulnerabilità, di cui 2 con gravità "alta", in Armoury Crate e in ASUS Router Firmware.

• Risolta vulnerabilità in Signal RingRTC

  Signal ha rilasciato aggiornamenti di sicurezza per sanare una vulnerabilità con gravità “critica” in RingRTC, libreria middleware per la gestione delle chiamate audio e video.

• Risolte vulnerabilità in Craft CMS

  Aggiornamenti di sicurezza sanano alcune vulnerabilità, di cui una con gravità “critica” e 7 con gravità “alta”, in Craft CMS, noto strumento per la gestione di siti web e-commerce. Tali vulnerabilità potrebbero consentire a un attaccante remoto, in alcuni casi non autenticato, di eludere i meccanismi di autenticazione, di accedere a informazioni sensibili o di eseguire codice arbitrario sui sistemi interessati.

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-81212 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in DataStage on Cloud Pak for Data (IBM). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-87337 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in Oracle Access Manager (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91216 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91221 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91231 critica

  Vulnerabilità critica, punteggio 10,0 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-101446 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Siebel CRM Cloud Applications (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-101501 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Trusted Answer Search (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-101503 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Trusted Answer Search (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-101528 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Enterprise Manager for Oracle Database (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-101529 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Enterprise Manager for Oracle Database (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91222 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Business Process Management Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91224 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91232 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91250 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91251 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91354 critica

  Vulnerabilità critica, punteggio 9,9 su 10, in Oracle Outside In Technology (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-109444 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in opensre (Tracer-Cloud). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autorizzazione mancante.

• CVE-2026-77930 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in EvoScientist. Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autorizzazione mancante.

• CVE-2026-87347 critica

  Vulnerabilità critica, punteggio 9,6 su 10, in Oracle HTTP Server (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91218 critica

  Vulnerabilità critica, punteggio 9,6 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91243 critica

  Vulnerabilità critica, punteggio 9,6 su 10, in Oracle Business Process Management Suite (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91230 critica

  Vulnerabilità critica, punteggio 9,3 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91644 critica

  Vulnerabilità critica, punteggio 9,3 su 10, in Oracle Essbase (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-28763 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-33568 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.

• CVE-2026-40615 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-40627 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.

• CVE-2026-41222 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-41223 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-42019 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-42020 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.

• CVE-2026-91225 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Oracle SOA Suite (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91241 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Oracle Business Intelligence Enterprise Edition (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91341 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Oracle Outside In Technology (Oracle Corporation). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-91655 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Oracle Essbase (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-91656 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Oracle Essbase (Oracle Corporation). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-9659 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Totolink. Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: buffer overflow sullo stack.