Vulnerabilità del 28 ottobre 2026

Già sfruttate in attacchi reali

Inserite da CISA nel catalogo delle vulnerabilità sfruttate: da aggiornare per prime.

• CVE-2026-41709 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 2,7 su 10, in VMware ESX (Broadcom). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla.

• CVE-2026-46300 sfruttata

  Vulnerabilità già sfruttata in attacchi reali, punteggio 7,8 su 10, in Kernel (Linux). Richiede accesso al dispositivo, con un account già valido, senza che nessuno faccia nulla. Tipo: scrittura fuori dai limiti della memoria.

Allerte di CSIRT Italia

• Rilevate vulnerabilità in prodotti Dell

  Aggiornamenti di sicurezza Dell Technologies sanano molteplici vulnerabilità, di cui 7 con gravità "critica" e 18 con gravità "alta" che interessano i prodotti PowerProtect Data Domain, Data Domain Virtual Edition e Dell APEX Protection Storage, soluzioni di storage per backup e protezione dei dati basate sulla tecnologia Data Domain.

• PHP2Shell: verificare i prodotti che Integrano PHP

  Facendo seguito alle precedenti comunicazioni sulle vulnerabilità critiche note come “PHP2Shell”, si richiama l’attenzione sulla necessità di verificare sulle istanze dei propri servizi offerti la presenza di prodotti di terze parti che integrano PHP.

• Rilevata vulnerabilità in TianoCore EDK II

  Rilevata una vulnerabilità con gravità "critica" presente nel driver PXE (NetworkPkg/UefiPxeBcDxe) del progetto TianoCore EDK II, una delle implementazioni UEFI open source più diffuse e utilizzate come base da numerosi produttori di firmware. La vulnerabilità interessa le funzionalità di network boot PXE sia in ambiente IPv4 che IPv6.

• Rilevate vulnerabilità in prodotti Acronis

  Rilevate 11 vulnerabilità, di cui 3 con gravità “alta”, nei prodotti Acronis Cyber Protect 17 e Cyber Protect Cloud Agent. Tali vulnerabilità, qualora sfruttate, potrebbero consentire ad un utente malintenzionato di accedere ad informazioni sensibili e manipolarle, nonché di elevare i propri privilegi sui sistemi interessati.

• Risolte vulnerabilità in Google Chrome

  Google ha rilasciato un aggiornamento per il browser Chrome al fine di correggere 52 nuove vulnerabilità di sicurezza, di cui 4 con gravità “critica” e 46 con gravità “alta”.

• Aggiornamenti di sicurezza per prodotti Veeam

  Veeam ha rilasciato aggiornamenti di sicurezza per risolvere 9 vulnerabilità, di cui 2 con gravità “critica” e 3 con gravità “alta”, nei prodotti Backup and Replication, ONE, Agent per Linux e Backup per Microsoft 365.

• Risolte vulnerabilità in prodotti TeamViewer

  TeamViewer ha rilasciato aggiornamenti di sicurezza per sanare 9 vulnerabilità con gravità “alta” in vari prodotti. Tali vulnerabilità potrebbero consentire a un attaccante, in alcuni casi non autenticato, di elevare i propri privilegi o di eseguire codice arbitrario sui sistemi interessati.

• Risolta vulnerabilità in OAuthLib

  Aggiornamenti di sicurezza sanano una vulnerabilità con gravità "alta" in OAuthLib, libreria open source per Python ampiamente utilizzata per l'implementazione dei protocolli di autorizzazione OAuth 1.0 e OAuth 2.0. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di eludere i meccanismi di autenticazione sui sistemi interessati.

• WatchGuard: risolte vulnerabilità in Fireware OS

  WatchGuard ha rilasciato aggiornamenti di sicurezza per sanare molteplici vulnerabilità, di cui 7 con gravità “critica” e 7 con gravità “alta”, in Fireware OS, sistema operativo utilizzato nei dispositivi di sicurezza perimetrale e di protezione delle reti. Tali vulnerabilità potrebbero consentire a un utente malintenzionato, in determinate condizioni, di eseguire codice arbitrario, di eludere i meccanismi di autenticazione, di accedere a informazioni sensibili o di compromettere la disponibilit

• Adobe: aggiornamenti di sicurezza

  Adobe ha rilasciato aggiornamenti di sicurezza per risolvere 12 vulnerabilità, di cui 9 con gravità “critica” e 2 con gravità “alta”, nei prodotti Substance 3D Painter, Connect Desktop, Connect Mobile, Campaign Classic, Creative Cloud Desktop Application.

• Risolte vulnerabilità in prodotti Mozilla

  Aggiornamenti di sicurezza sanano 180 vulnerabilità di sicurezza, di cui 3 con gravità “critica” e 113 con gravità “alta”, nei prodotti Firefox, Firefox ESR, Thunderbird.

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-103406 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Session Smart Conductor (Juniper Networks). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.

• CVE-2026-103409 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Session Smart Router (Juniper Networks). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: funzione critica senza autenticazione.

• CVE-2026-118579 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in DIR-505 (D-Link). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-118690 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in signalk-server. Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: funzione critica senza autenticazione.

• CVE-2026-117574 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Red Hat OpenShift AI (RHOAI). Sfruttabile da remoto, via rete, con un account già valido, senza che nessuno faccia nulla. Tipo: accesso a dati altrui cambiando un identificativo.