CISA ha aggiunto dieci vulnerabilità al catalogo Known Exploited Vulnerabilities tra il 26 ottobre e il 1° novembre, tra cui due difetti PHP che consentono l'esecuzione remota di codice, una vulnerabilità nel decoder Brotli e un difetto del server GitLab con punteggio CVSS 10,0. Entrambe le voci PHP e quella di Brotli sono entrate nel KEV cinque giorni dopo la pubblicazione su NVD. Per le agenzie civili federali statunitensi interessate, diverse scadenze di rimedio sono già passate; una scadenza per Ivanti Connect Secure cade il 2 novembre.
Nessuna delle dieci voci è contrassegnata da CISA come nota per essere utilizzata in campagne ransomware. Questa designazione è distinta dall'inserimento nel catalogo KEV, che individua vulnerabilità con evidenze di sfruttamento. CVSS misura la gravità, non la probabilità di sfruttamento.
Le aggiunte della settimana hanno superato la media delle dodici settimane precedenti, pari a 8,3. La mediana dell'intervallo tra la pubblicazione su NVD e l'aggiunta al KEV è stata di 15,5 giorni, e tre voci sono state aggiunte entro sette giorni. Questi intervalli non permettono di stabilire quando è iniziato lo sfruttamento.
PHP, Brotli e GitLab: esecuzione di codice e versioni di aggiornamento concrete
Le due vulnerabilità PHP sono entrate nel KEV il 26 ottobre, con scadenza federale per il rimedio fissata al 29 ottobre. Entrambe possono portare all'esecuzione remota di codice, ma coinvolgono errori diversi nella gestione delle richieste.
Nel caso di CVE-2026-109618, l'uso di longjmp() da parte di PHP per uscire da una richiesta dopo un errore di esaurimento della memoria può lasciare non inizializzata la memoria della richiesta. La fase di pulizia può successivamente leggere quella memoria o usarla per determinare il flusso del programma. NVD assegna alla vulnerabilità un punteggio CVSS di 9,8.
CVE-2026-109619 riguarda uno stato globale che conserva riferimenti a memoria di richiesta già liberata. Richieste successive possono incontrare questi riferimenti obsoleti prima che l'inizializzazione sia completata. Il punteggio CVSS è 8,1, con una complessità di attacco più alta rispetto alla prima vulnerabilità PHP. Segnalazioni collegate riguardano attacchi PHP2Shell che coinvolgono l'accesso root.
La vulnerabilità CVE-2026-111497 di Google Brotli interessa il decoder in c/dec/decode.c. Secondo la descrizione di NVD, un flusso compresso appositamente costruito può corrompere lo stato del decoder nelle aree vicine, esporre la memoria, interrompere il servizio o potenzialmente eseguire codice senza autenticazione. La voce riporta un CVSS di 9,8 e una scadenza federale fissata al 10 novembre.
Le indicazioni sulle versioni di Brotli richiedono attenzione. NVD descrive un intervallo di versioni interessate da 1.0.3 a 1.2.0 su tutte le piattaforme, indicando al tempo stesso 1.0.10, 1.1.1 e 1.2.1 come versioni di aggiornamento. Le prime due rientrano in quell'intervallo. Queste indicazioni non vanno trattate come un elenco coerente e continuo delle release vulnerabili: usa la release correttiva appropriata per il ramo di rilascio installato. In precedenza, alcune segnalazioni hanno trattato correzioni del decoder di Brotli e tentativi di sfruttamento.
La vulnerabilità CVE-2026-97229 di GitLab interessa le edizioni Community Edition ed Enterprise Edition nei seguenti intervalli di release:
- 19.2 precedenti alla 19.2.8: aggiornare alla 19.2.8.
- 19.3 precedenti alla 19.3.5: aggiornare alla 19.3.5.
- 19.4 precedenti alla 19.4.2: aggiornare alla 19.4.2.
In determinate condizioni, una convalida insufficiente di un'espressione regolare nella configurazione CI/CD può consentire a un utente non autenticato di eseguire codice arbitrario sul server. Il punteggio CVSS di 10,0 descrive la gravità potenziale; la conferma da parte di CISA dello sfruttamento attivo stabilisce l'urgenza operativa. La scadenza federale era il 1° novembre.
Tutte e dieci le aggiunte e le relative scadenze federali
Le scadenze riportate di seguito si applicano alle agenzie civili federali statunitensi interessate ai sensi della BOD 22-01. Per le altre organizzazioni sono indicazioni di priorità, non scadenze di legge. Tutte le date sono del 2026; i punteggi sono i valori NVD CVSS v3 disponibili.
| Vulnerabilità | Prodotto e debolezza | CVSS v3 | Aggiunta al KEV | Scadenza federale |
|---|---|---|---|---|
| CVE-2026-109618 | PHP — corruzione di memoria | 9.8 | 26 ott | 29 ott |
| CVE-2026-109619 | PHP — stato interno obsoleto della richiesta | 8.1 | 26 ott | 29 ott |
| CVE-2026-111497 | Google Brotli — valore di ritorno non verificato | 9.8 | 27 ott | 10 nov |
| CVE-2026-48356 | Adobe Commerce e Magento — caricamento pericoloso di file | 9.3 | 27 ott | 10 nov |
| CVE-2026-41709 | Broadcom VMware ESX — registrazione insufficiente | 2.7 | 28 ott | 11 nov |
| CVE-2026-46300 | Linux kernel — inizializzazione mancante di variabile | 7.8 | 28 ott | 31 ott |
| CVE-2026-76418 | Cisco Secure Firewall ASA e FTD — valore di ritorno non verificato che porta a dereferenziazione di puntatore NULL | 8.6 | 29 ott | 1 nov |
| CVE-2026-97229 | GitLab CE/EE — overflow di interi o wraparound | 10.0 | 29 ott | 1 nov |
| CVE-2026-111357 | Ivanti Connect Secure — autenticazione mancante per una funzione critica | 7.0 | 30 ott | 2 nov |
| CVE-2026-118527 | Ivanti Connect Secure — numeri o identificativi prevedibili | — | 30 ott | 13 nov |
Il trattino indica che il catalogo non riporta un punteggio NVD CVSS v3 per quella voce.
Disponibilità delle VPN, esposizione dell'e-commerce e integrità del kernel
La vulnerabilità CVE-2026-76418 di Cisco riguarda il servizio VPN SSL di accesso remoto in ASA e FTD. La condizione rilevante è l'autenticazione secondaria configurata su un tunnel group. Un attaccante remoto non autenticato può causare un riavvio imprevisto del dispositivo tramite una richiesta di connessione appositamente costruita, provocando un denial of service.
Ivanti Connect Secure comprende due aggiunte con scadenze diverse. CVE-2026-111357, che riguarda l'assenza di autenticazione per una funzione critica, ha una scadenza federale per il rimedio fissata al 2 novembre. CVE-2026-118527, che riguarda numeri o identificativi prevedibili, ha una scadenza fissata al 13 novembre. In precedenza, alcune segnalazioni hanno trattato l'inserimento da parte di CISA di due vulnerabilità di Ivanti usate in attacchi per l'accesso root.
La vulnerabilità CVE-2026-48356 di Adobe Commerce e Magento consente caricamenti pericolosi di file e può tradursi in esecuzione di codice nel contesto dell'utente corrente, aumentando potenzialmente il controllo su un account o una sessione. Lo sfruttamento richiede l'interazione dell'utente: la vittima deve visitare un URL appositamente costruito o interagire con una pagina compromessa. La voce riporta un CVSS di 9,3 ed è entrata nel KEV 105 giorni dopo la pubblicazione su NVD.
La voce su VMware ESX mostra perché il solo CVSS non può determinare la priorità di rimedio. CVE-2026-41709 ha un punteggio di 2,7, ma CISA la elenca come sfruttata. Secondo NVD, un amministratore malintenzionato può eseguire determinate operazioni senza che queste vengano registrate. Il presupposto è l'accesso amministrativo; la conseguenza è una minore visibilità sulle attività.
La vulnerabilità CVE-2026-46300 del kernel Linux riguarda un marcatore di frammento condiviso perso durante la coalescenza dei buffer di rete. Quando skb_try_coalesce() trasferisce frammenti paginati senza preservare SKBFL_SHARED_FRAG, la successiva elaborazione ESP può trattare erroneamente il buffer risultante come sicuro per la decifratura in-place, anche su frammenti supportati dalla page cache. La correzione mantiene il marcatore quando i frammenti vengono trasferiti. La valutazione CVSS 7.8 specifica l'accesso locale e privilegi bassi. La scadenza federale, fissata al 31 ottobre, è già passata.
Priorità difensive di questa settimana
Verifica l'esposizione su tutti i prodotti elencati, incluse le librerie e i binari di Brotli. Dai priorità alle voci PHP e Brotli divulgate di recente, insieme al rischio di esecuzione di codice non autenticata su GitLab, e verifica le VPN Cisco per la condizione documentata di autenticazione secondaria. Nessuna voce del gruppo di questa settimana riporta il flag di CISA sull'uso in ransomware.
Applica le release correttive GitLab elencate e la versione di aggiornamento Brotli appropriata. CISA indica alle organizzazioni di applicare le mitigazioni del fornitore, valutare l'esposizione su internet di ciascun asset e seguire le indicazioni della BOD 26-04 e di Forensics Triage Requirements applicabili. L'indicazione di interrompere l'uso del prodotto vale se le mitigazioni non sono disponibili. Le agenzie federali interessate dovrebbero inoltre affrontare subito le scadenze già trascorse e la scadenza Ivanti del 2 novembre.
