La CISA ha aggiunto vulnerabilità sfruttate che interessano WordPress Core, prodotti Apple e SonicWall SonicOS SSLVPN al proprio catalogo delle Known Exploited Vulnerabilities, tra il 2 e l'8 novembre. WordPress espone una finestra di aggiornamento che consente l'esecuzione di codice senza autenticazione, mentre la falla SonicWall può aggirare l'autenticazione SAML e l'autenticazione a più fattori imposta tramite SAML. La voce Apple riguarda un bypass di Pointer Authentication, con correzioni disponibili per diverse linee di prodotti.
Nessuna delle tre voci è contrassegnata dalla CISA come nota per essere usata in campagne di ransomware. L'inserimento nel KEV attesta prove di sfruttamento; i punteggi CVSS descrivono la gravità, non la probabilità di un attacco.
Le tre aggiunte di questa settimana si confrontano con una media di 8,7 a settimana nelle 12 settimane precedenti. Due sono entrate nel KEV entro sette giorni dalla pubblicazione in NVD; la vulnerabilità Apple era pubblica in NVD da oltre un anno. L'intervallo mediano è stato di tre giorni. Questi intervalli misurano i tempi del catalogo, non l'inizio dello sfruttamento.
WordPress Core: esecuzione di codice durante gli aggiornamenti del pacchetto completo
CVE-2026-119977 interessa WordPress Core dalla versione 4.7 alla 7.1.3 compresa, secondo la descrizione NVD. Si tratta di una race condition di tipo time-of-check/time-of-use che coinvolge percorsi di staging prevedibili, accessibili via web durante gli aggiornamenti completi del core.
Un attaccante non autenticato può sfruttare quella finestra di aggiornamento per eseguire codice sul server. L'esposizione dipende quindi dal processo di aggiornamento, e non semplicemente dalla presenza di un'installazione vulnerabile. NVD assegna un punteggio CVSS v3 pari a 8,1.
La CISA ha aggiunto la vulnerabilità il 3 novembre, tre giorni dopo la pubblicazione in NVD e quattro giorni dopo il suo inserimento nel VulnCheck KEV. La scadenza federale per la correzione era il 6 novembre, già trascorsa alla data del 9 novembre.
SonicWall: credenziali alternative possono aggirare i controlli SAML
CVE-2026-19868 riguarda l'applicazione dell'autenticazione nel servizio SSLVPN di SonicOS. Un utente con credenziali valide per un metodo di autenticazione alternativo può aggirare i controlli di autenticazione SAML. Uno sfruttamento riuscito può anche aggirare l'MFA imposta tramite SAML.
Il prerequisito delle credenziali è rilevante: l'attacco descritto richiede credenziali valide per un altro metodo di autenticazione. Il punteggio CVSS v3 di NVD è 7,5.
La CISA ha aggiunto la falla il 6 novembre, lo stesso giorno della pubblicazione in NVD o prima. La scadenza federale per la correzione è il 20 novembre.
Apple: bypass di Pointer Authentication con correzioni pubblicate
CVE-2024-27834 potrebbe consentire a un attaccante che già dispone di capacità arbitrarie di lettura e scrittura di aggirare la Pointer Authentication. NVD le assegna un punteggio CVSS v3 di 5,5. Il punteggio più basso non annulla le prove di sfruttamento rappresentate dall'inserimento nel KEV.
Secondo la descrizione NVD, controlli migliorati risolvono il problema nelle seguenti versioni:
- Safari 17.5.
- iOS 16.7.8 e iPadOS 16.7.8.
- iOS 17.5 e iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
La CISA ha aggiunto la vulnerabilità il 4 novembre, 904 giorni dopo la pubblicazione in NVD, e ha fissato al 18 novembre la scadenza federale per la correzione.
Cosa dovrebbero fare i difensori questa settimana
Verificate l'esposizione a tutte e tre le famiglie di prodotti, dando priorità immediata alle voci WordPress e SonicWall, divulgate di recente. Per le installazioni Apple, verificate la correzione confrontandola con le versioni corrette elencate sopra. Nessuna delle voci di questa settimana porta il flag di uso noto in ransomware della CISA.
Per tutte e tre le vulnerabilità, la CISA indica alle organizzazioni di applicare le mitigazioni prescritte dal fornitore in conformità con la BOD 26-04 e con i suoi «Forensics Triage Requirements», di valutare l'esposizione a internet di ciascun asset e di seguire le indicazioni applicabili della BOD 26-04 per i servizi cloud. La CISA indica di sospendere l'uso se le mitigazioni non sono disponibili.
Le scadenze del KEV sono vincolanti per le agenzie civili federali statunitensi interessate ai sensi della BOD 22-01. Le altre organizzazioni dovrebbero usarle come segnali di priorità: la scadenza del 6 novembre per WordPress è già trascorsa, seguita da Apple il 18 novembre e da SonicWall il 20 novembre.
