PixelSmash in FFmpeg, plugin WordPress compromessi e Squidbleed minacciano server e siti

Una serie di disclosure pubblicate nelle ultime settimane ha portato alla luce tre vulnerabilità e compromissioni che interessano componenti largamente utilizzati in ambienti enterprise, infrastrutture web e piattaforme multimediali. La prima riguarda FFmpeg, dove la vulnerabilità CVE-2026-8461, soprannominata PixelSmash, consente l’esecuzione di codice remoto (RCE) attraverso file video appositamente costruiti. La seconda coinvolge una compromissione della supply chain dei plugin premium sviluppati da ShapedPlugin, che ha portato alla distribuzione di aggiornamenti ufficiali contenenti una backdoor persistente. La terza interessa Squid Proxy, dove il bug denominato Squidbleed permette la lettura di richieste HTTP appartenenti ad altri utenti attraverso una vulnerabilità presente nel parser FTP da quasi trent’anni. Sebbene differenti per natura e impatto, tutte e tre le problematiche evidenziano come componenti apparentemente affidabili possano trasformarsi in vettori di compromissione con conseguenze significative per organizzazioni e utenti finali.

PixelSmash colpisce il decoder MagicYUV di FFmpeg

La vulnerabilità CVE-2026-8461 interessa il decoder MagicYUV implementato all’interno di libavcodec di FFmpeg. Il difetto è stato identificato nel file magicyuv.c e deriva da un errore nel calcolo dell’altezza dei piani chroma durante l’elaborazione delle slice video. Quando una combinazione specifica di parametri viene elaborata dal decoder, si verifica una condizione di heap out-of-bounds write che consente la scrittura oltre i limiti del buffer allocato. Il problema è particolarmente pericoloso perché può essere attivato semplicemente elaborando file nei formati AVI, MKV o MOV contenenti stream malevoli. Con un punteggio CVSS di 8.8, PixelSmash rientra tra le vulnerabilità ad alta gravità e interessa numerose applicazioni che integrano direttamente FFmpeg per la gestione dei contenuti multimediali.

Come funziona l’esecuzione di codice remoto in PixelSmash

I ricercatori hanno dimostrato che l’overflow consente di sovrascrivere strutture di memoria adiacenti, in particolare oggetti AVBuffer utilizzati dal framework multimediale. Attraverso una manipolazione accurata della memoria, l’exploit modifica il puntatore alla funzione free(), sostituendolo con l’indirizzo della funzione system().

Contestualmente viene inserito un comando arbitrario nel campo utilizzato durante la fase di deallocazione. Quando FFmpeg esegue la pulizia del frame attraverso av_buffer_unref(), il sistema richiama inconsapevolmente il comando fornito dall’attaccante. Questo meccanismo consente una vera e propria Remote Code Execution senza richiedere ulteriori vulnerabilità. I ricercatori hanno dimostrato il funzionamento dell’attacco utilizzando un file AVI di appena 50 KB, confermando che anche contenuti multimediali estremamente piccoli possono fungere da vettori di compromissione.

Jellyfin, Nextcloud e numerose piattaforme risultano esposte

Uno degli aspetti più critici di PixelSmash è la possibilità di sfruttare la vulnerabilità senza alcuna interazione diretta dell’utente. Le dimostrazioni effettuate hanno coinvolto Jellyfin 10.11.9 e Nextcloud, dove la semplice scansione automatica delle librerie multimediali è sufficiente ad attivare il codice malevolo. In scenari reali ciò significa che un file caricato tramite client torrent, sincronizzazione cloud o workflow automatizzati può compromettere il server durante le normali operazioni di indicizzazione.

Oltre a Jellyfin e Nextcloud risultano potenzialmente vulnerabili applicazioni come Kodi, Emby, PhotoPrism, OBS Studio e numerosi sistemi che utilizzano FFmpeg per generare anteprime, miniature o effettuare operazioni di transcodifica. La presenza di MagicYUV abilitato di default in molte build aumenta ulteriormente la superficie di attacco.

FFmpeg corregge la falla con la versione 8.1.2

La correzione ufficiale è stata introdotta nella release FFmpeg 8.1.2, pubblicata il 17 giugno 2026. Numerosi progetti downstream hanno già iniziato ad aggiornare le proprie distribuzioni, ma resta una finestra di esposizione significativa dovuta alla diffusione capillare della libreria.

Gli amministratori che gestiscono server media o piattaforme che elaborano file provenienti da fonti non attendibili dovrebbero procedere immediatamente all’aggiornamento. Nei contesti più sensibili può essere opportuno valutare anche la disabilitazione temporanea del decoder MagicYUV fino alla completa distribuzione delle patch. Considerata la semplicità dell’attacco e la possibilità di sfruttarlo attraverso normali file video, PixelSmash rappresenta una delle vulnerabilità più rilevanti emerse nel settore multimediale negli ultimi mesi.

La supply chain di ShapedPlugin distribuisce aggiornamenti malevoli

Parallelamente alla scoperta di PixelSmash, il settore WordPress è stato colpito da una compromissione della supply chain che interessa diversi plugin premium sviluppati da ShapedPlugin. Gli aggressori sono riusciti a modificare il processo di build e distribuzione associato all’infrastruttura Easy Digital Downloads utilizzata dal produttore. Di conseguenza, gli utenti che hanno scaricato aggiornamenti ufficiali attraverso il portale di licenza account.shapedplugin.com hanno ricevuto versioni contenenti codice malevolo. È importante sottolineare che i plugin gratuiti distribuiti tramite WordPress.org non risultano coinvolti nell’incidente. La compromissione riguarda esclusivamente alcune versioni Pro distribuite attraverso il canale commerciale ufficiale.

I plugin WordPress compromessi e il funzionamento della backdoor

Tra i prodotti interessati figurano Product Slider Pro for WooCommerce, Real Testimonials Pro e Smart Post Show Pro. Le versioni compromesse includono un loader malevolo che si attiva automaticamente tramite l’hook admin_init ogni volta che viene caricata una pagina amministrativa di WordPress. Una volta eseguito, il codice contatta un server remoto all’indirizzo 194.76.217.28 sulla porta 2871 e scarica componenti aggiuntivi. Il payload viene installato come plugin apparentemente legittimo con nomi quali woocommerce-subscription o woocommerce-notification. Il malware si nasconde deliberatamente dall’interfaccia di amministrazione, rendendo difficile la sua individuazione da parte degli amministratori del sito.

Furto di credenziali e persistenza avanzata nei siti WordPress

La backdoor implementa funzionalità particolarmente invasive. Tra le attività osservate figurano l’estrazione completa del file wp-config.php, il recupero delle credenziali del database, la raccolta degli account amministrativi e l’accesso alle configurazioni di plugin dedicati alla posta elettronica come WP Mail SMTP. Il malware intercetta inoltre username, password e codici 2FA durante il processo di autenticazione. Tutti i dati raccolti vengono trasmessi verso infrastrutture controllate dagli aggressori. Per mantenere la persistenza, il codice installa endpoint REST personalizzati, web shell e meccanismi aggiuntivi che consentono di riprendere il controllo del sito anche dopo tentativi parziali di bonifica. Gli utenti che hanno effettuato aggiornamenti tra aprile e giugno 2026 sono considerati i soggetti maggiormente a rischio.

Squidbleed riporta alla luce un bug nato nel 1997

La terza disclosure riguarda Squid Proxy e una vulnerabilità identificata come CVE-2026-47729, soprannominata Squidbleed. La particolarità del problema risiede nella sua origine storica: il bug deriva infatti da modifiche introdotte nel parser FTP del software nel lontano 1997. Il difetto si manifesta durante la gestione delle directory FTP e consente una lettura oltre i limiti della memoria. In determinate condizioni un client autorizzato può ottenere informazioni residue presenti nei buffer riutilizzati dal proxy. Tra i dati potenzialmente esposti figurano richieste HTTP in chiaro appartenenti ad altri utenti, inclusi header di autenticazione, cookie di sessione e token di accesso.

Come Squidbleed espone richieste HTTP e credenziali

Il problema nasce da un ciclo while che gestisce i caratteri di spazio nei listing FTP. Quando una riga termina immediatamente dopo il timestamp e non contiene un nome file valido, il puntatore può avanzare oltre il terminatore nullo e iniziare a leggere memoria appartenente a strutture precedentemente utilizzate. Poiché Squid riutilizza frequentemente i buffer senza azzerarne il contenuto, l’output risultante può includere frammenti di richieste HTTP processate in precedenza. Un attaccante che controlli un server FTP malevolo e utilizzi il proxy come client fidato può quindi ottenere informazioni sensibili appartenenti ad altri utenti che condividono la stessa infrastruttura. Sebbene l’impatto riguardi principalmente la riservatezza dei dati, la possibilità di intercettare token e credenziali rende la vulnerabilità particolarmente rilevante negli ambienti condivisi.

Una seconda vulnerabilità colpisce i cache digest di Squid

Oltre a Squidbleed, gli sviluppatori hanno corretto anche la vulnerabilità CVE-2026-50012, che interessa il meccanismo dei cache digest quando Squid viene compilato con l’opzione –enable-cache-digests. In questo caso il problema consiste in un heap buffer overflow che può compromettere la stabilità del processo. Sebbene la seconda falla abbia ricevuto meno attenzione mediatica rispetto a Squidbleed, la presenza simultanea di due vulnerabilità nello stesso componente evidenzia la necessità di aggiornare rapidamente le installazioni esistenti. Entrambe le problematiche sono state risolte nella versione Squid 7.6, che rappresenta il riferimento minimo consigliato per gli ambienti produttivi.

Aggiornamenti urgenti per FFmpeg, WordPress e Squid

Le tre disclosure mostrano come minacce differenti possano colpire livelli diversi dell’infrastruttura tecnologica moderna. PixelSmash trasforma semplici file multimediali in strumenti di compromissione capaci di ottenere esecuzione di codice remoto. La compromissione della supply chain di ShapedPlugin dimostra invece come anche gli aggiornamenti ufficiali possano diventare vettori di attacco contro siti WordPress legittimi. Infine Squidbleed evidenzia i rischi derivanti da vulnerabilità storiche rimaste inosservate per decenni all’interno di software ampiamente utilizzati. Gli amministratori dovrebbero aggiornare immediatamente FFmpeg alla versione 8.1.2, verificare eventuali installazioni compromesse dei plugin ShapedPlugin Pro e migrare le installazioni di Squid Proxy alla release 7.6 o successive. In tutti e tre i casi, la rapidità nell’applicazione delle correzioni rappresenta la misura di difesa più efficace contro minacce che colpiscono componenti fondamentali dell’ecosistema digitale moderno.