Progress Software ha divulgato 31 vulnerabilità in MarkLogic Server il 12 ottobre 2026, tra cui cinque falle critiche che possono consentire un controllo amministrativo persistente, un'esecuzione di codice lato server con privilegi elevati oppure un accesso oltre l'ambito assegnato a un amministratore delegato.
Le versioni interessate sono MarkLogic 11.x prima della 11.3.7 e 12.x prima della 12.1.0. I clienti dovrebbero aggiornare a 11.3.7 o 12.1.0; nel ramo 12.0 non esiste una release corretta. Secondo The Hacker News, Progress ha reso disponibili le correzioni il 10 settembre e ha assegnato a cinque vulnerabilità una gravità critica, a 24 una gravità alta e a due una gravità media.
Le release di sicurezza di agosto, 11.3.6 e 12.0.3, restano vulnerabili a questo nuovo gruppo di falle.
Cinque vulnerabilità critiche superano i confini dei privilegi
Le problematiche più gravi richiedono livelli diversi di accesso preesistente, ma diverse trasformano permessi delegati in modo limitato in un controllo sull'intero ambiente MarkLogic.
| Vulnerabilità | CVSS | Posizione o accesso richiesto | Possibile conseguenza |
|---|---|---|---|
| CVE-2026-85947 | 9.9 | Privilegi di gestione delle foreste | Creazione di un account amministratore non autorizzato e persistente |
| CVE-2026-85948 | 9.9 | Privilegi di livello manage-user | Controllo amministrativo persistente tramite XQuery injection in un percorso di package dell'API di gestione deprecato |
| CVE-2026-85955 | 9.9 | Accesso per l'esecuzione di query e la relativa capacità di valutazione | Esecuzione di codice lato server con permessi elevati |
| CVE-2026-85956 | 9.6 | Privilegi di amministratore di database delegato | Backup o ripristino di foreste al di fuori dell'ambito del database autorizzato |
| CVE-2026-9191 | 9.6 | Possibilità di eseguire codice tramite percorsi REST o XDBC interessati | Azioni non autorizzate o compromissione di una sessione autenticata |
La scheda del CVE Program per CVE-2026-85947 classifica il problema come gestione impropria dei privilegi secondo il CWE-269. Un account remoto con diritti di gestione delle foreste può abusare delle operazioni interessate per creare un account amministratore persistente, con il possibile risultato di un controllo amministrativo completo. Il suo vettore CVSS 3.1 è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
La scheda attribuisce a rexnets, tramite Bugcrowd, la segnalazione di CVE-2026-85947. Lo stesso ricercatore è citato nella segnalazione anche per CVE-2026-85948 e CVE-2026-85956, mentre WaltWhitehat è accreditato per CVE-2026-9191.
Un altro problema ad alta gravità, CVE-2026-85954, ha un punteggio CVSS di 8.6. Riguarda valori forniti dall'utente a determinate funzioni XQuery di ordine superiore, valutati in un contesto di sicurezza elevato, che permettono di ottenere privilegi superiori a quelli assegnati all'aggressore.
Rischi di autenticazione, cloud e logging dipendono dalla configurazione
Diverse altre vulnerabilità diventano rilevanti solo dove sono in uso particolari metodi di autenticazione, piattaforme cloud o componenti meno recenti.
Nelle implementazioni SAML, CVE-2026-85962 potrebbe consentire a un aggressore remoto non autenticato di far accettare a MarkLogic un'asserzione che dovrebbe essere respinta. Anche MarkLogic 11.x prima della 11.3.7 è interessato da CVE-2026-85957: il parser SAML può elaborare DTD o entità esterne, con il rischio di accessi di rete non voluti o di divulgazione di informazioni.
CVE-2026-85958 riguarda token OAuth che il server non dovrebbe accettare. La correzione aggiunge la validazione di issuer e audience per Ping Identity e altre configurazioni OAuth. CVE-2026-85972 riguarda le configurazioni Kerberos basate su password e può consentire a un aggressore con una posizione adeguata nella rete di impersonare il servizio di autenticazione Kerberos.
Tra i problemi legati al cloud figurano CVE-2026-85951 su Azure e CVE-2026-85952 nelle implementazioni cloud basate su Linux, dove un aggressore autenticato potrebbe raggiungere servizi cloud interni e ottenere credenziali cloud. Con le configurazioni di logging interessate, CVE-2026-85949 e CVE-2026-85961, specifica per Azure, potrebbero esporre informazioni sensibili dal punto di vista della sicurezza nei log diagnostici. Le note di aggiornamento segnalate indicano che chiavi segrete AWS e token di sessione venivano scritti in chiaro quando era abilitato il percorso di tracciamento IAM interessato.
Altri difetti riguardano Query Console, la connettività con Amazon S3, i record di audit e componenti obsoleti. CVE-2026-85959 è particolarmente rilevante per la risposta agli incidenti, perché i login riusciti non sempre venivano scritti nel registro di audit; secondo Progress, questo può ostacolare il rilevamento e l'indagine di accessi non autorizzati o di uso improprio delle credenziali.
L'aggiornamento modifica il comportamento di sicurezza e la compatibilità
MarkLogic 11.3.7 è la release corretta sulla linea a supporto a lungo termine. Gli utenti di MarkLogic 12 devono passare alla 12.1.0, che non è un semplice aggiornamento di sicurezza della 12.0 e introduce anche nuove funzionalità e modifiche di comportamento.
Gli amministratori dovrebbero tenere conto di questi cambiamenti documentati:
- Le versioni meno recenti di MarkLogic Content Pump possono generare un errore XDMP-ISOLATED con i server corretti. Progress raccomanda mlcp 11.3.7 o 12.1.0. In alternativa, le versioni precedenti possono usare
-restrict_hostsimpostato sutrue, con un possibile costo in termini di prestazioni. - Sono stati rimossi l'API
/manage/v2/packages, InfoStudio e OpsDirector. - L'elaborazione delle entità esterne XML è disabilitata per impostazione predefinita.
- Le connessioni ad Amazon S3 usano ora HTTPS come impostazione predefinita.
- I file ErrorLog.txt e AuditLog.txt nuovi o ruotati usano il permesso 0640, al posto di 0666. I file esistenti mantengono i permessi precedenti fino alla rotazione o alla ricreazione.
xdmp:eval-in()ora richiede sia xdmp-eval-in sia xdmp-eval.- I permessi di collegamento, backup e ripristino delle foreste vengono verificati per ogni foresta e ogni database coinvolti.
- La lettura degli header Authorization richiede un nuovo privilegio che non è assegnato ad alcun ruolo predefinito.
- MarkLogic 11.3.7 non supporta Amazon Linux 2.
- La correzione Kerberos richiede un keytab. In sua assenza, MarkLogic registra un avviso e salta il nuovo controllo.
Le indicazioni di aggiornamento riportate da Progress raccomandano inoltre di verificare i privilegi delegati su foreste e database e di controllare i ruoli che detengono xdmp-eval-in. I clienti dovrebbero testare le applicazioni per individuare eventuali variazioni negli accessi: la correzione per CVE-2026-85954 potrebbe rimuovere privilegi che gli utenti avevano in precedenza, perché quell'accesso era stato concesso in modo errato.
Applicare la patch e poi verificare eventuali accessi persistenti
Le schede CVE citate e le note di aggiornamento non indicano se una qualsiasi delle 31 vulnerabilità sia stata sfruttata. Nessuna di esse risultava nel catalogo KEV (Known Exploited Vulnerabilities) di CISA al controllo del 13 ottobre 2026, quindi in quel momento non si applicava alcuna scadenza di rimedio KEV. Questo stato non riduce l'impatto dei percorsi di escalation dei privilegi negli ambienti esposti, multiutente o con amministrazione delegata.
Le informazioni disponibili non individuano alcun workaround per le organizzazioni che non possono aggiornare subito. Gli operatori dovrebbero dare priorità a 11.3.7 o 12.1.0, inventariare gli account con permessi delegati su foreste, database, esecuzione di query e gestione, e verificare la presenza di account amministratore non autorizzati.
Le informazioni disponibili non confermano che l'installazione dell'aggiornamento rimuova un account amministratore creato in precedenza tramite CVE-2026-85947. Quando si sospetta una compromissione, l'applicazione della patch deve quindi essere affiancata da una verifica separata di account, ruoli, credenziali e dati di audit pertinenti.
