La CISA ha aggiunto al catalogo delle Known Exploited Vulnerabilities (KEV) due vulnerabilità, nel kernel Linux e in Broadcom VMware ESX, il 28 ottobre 2026, sulla base di prove di sfruttamento attivo. Le due falle hanno conseguenze diverse: quella in Linux può consentire a un attaccante locale di ottenere privilegi di root, mentre quella in VMware permette a chi ha già privilegi di amministratore di eseguire determinate operazioni senza che queste compaiano nei log.
Nel comunicato della CISA le vulnerabilità sono identificate come CVE-2026-46300, una vulnerabilità di inizializzazione mancante nel kernel Linux, e CVE-2026-41709, una vulnerabilità di logging insufficiente in VMware ESX.
Prerequisiti e conseguenze diversi
CVE-2026-46300, noto anche come Fragnesia, riguarda il sottosistema XFRM ESP-in-TCP del kernel Linux. Secondo Security Affairs, che cita un'analisi tecnica di Wiz, un attaccante locale senza privilegi può modificare il contenuto di file in sola lettura nella page cache del kernel, cioè la memoria che conserva i dati dei file in cache, e sfruttare questa corruzione per ottenere privilegi di root.
Il rapporto attribuisce la scoperta della vulnerabilità a William Bowling, del team di sicurezza V12. Secondo il rapporto, lo sfruttamento è deterministico e non richiede race condition né attacchi temporali complessi. Il prerequisito è l'accesso locale: si tratta di una falla di escalation dei privilegi.
Per CVE-2026-41709, l'attaccante deve già disporre di privilegi di amministratore. Security Affairs riferisce che la debolezza del logging può nascondere alcune operazioni specifiche, riducendo le prove disponibili ai difensori che indagano su attività sospette. Di per sé, però, la falla non concede accesso di amministratore.
Security Affairs cita inoltre il Legal Threat Landscape Report 2026 di CrowdStrike, secondo cui l'attore legato alla Cina Warp Panda avrebbe sfruttato la falla VMware come zero-day all'inizio del 2026 per ridurre la visibilità nei log di audit. Questo sfruttamento precede l'inserimento nel catalogo di ottobre.
L'articolo riporta punteggi CVSS di 7,6 per la falla VMware e 2,7 per quella Linux. Questi punteggi di gravità sono separati dalla constatazione della CISA che entrambe le vulnerabilità sono state sfruttate attivamente.
Correzione e requisiti federali
Security Affairs riferisce che Broadcom ha rilasciato a luglio le patch per CVE-2026-41709. Per le agenzie del Federal Civilian Executive Branch indica come scadenze per la correzione l'11 novembre 2026 per la falla VMware e il 31 ottobre 2026 per quella Linux.
Il comunicato della CISA identifica la BOD 26-04 come direttiva applicabile in materia di gestione delle vulnerabilità. Alle agenzie interessate impone di dare priorità alla correzione rapida delle vulnerabilità KEV ad alto rischio sugli asset esposti pubblicamente che, dopo lo sfruttamento, concedono il controllo totale, e stabilisce che, prima di applicare le patch, si verifichi se i sistemi siano stati compromessi.
Questi requisiti federali si applicano alle agenzie interessate. La CISA incoraggia inoltre tutte le organizzazioni a dare priorità alle vulnerabilità KEV attraverso la gestione delle vulnerabilità basata sul rischio.
