CISA, cPanel e AWS affrontano falle sfruttate e vulnerabilità critiche

🛡️ Executive Summary

• CISA inserisce CVE-2026-18577 di N-able N-central nel catalogo KEV dopo la conferma dello sfruttamento attivo.
• cPanel aggiorna Unbound contro CVE-2026-33278, vulnerabilità critica capace di causare denial of service e possibile esecuzione remota di codice.
• AWS corregge prompt injection in Strands Agents, sessioni SSH EMR intercettabili e furto di credenziali attraverso Amazon MQ MCP Server.

CISA, cPanel e AWS hanno pubblicato nuovi avvisi che interessano piattaforme di amministrazione remota, server web, agenti di intelligenza artificiale e strumenti cloud. L’agenzia statunitense ha inserito nel catalogo delle vulnerabilità sfruttate CVE-2026-18577, falla di N-able N-central utilizzata per ottenere accesso amministrativo agli ambienti gestiti dagli MSP. cPanel ha aggiornato il resolver Unbound contro una vulnerabilità critica nella validazione DNSSEC, mentre AWS ha corretto tre problemi distinti in Strands Agents Tools, AWS CLI e Amazon MQ MCP Server. Le falle permettono, rispettivamente, di aggirare il consenso umano per eseguire comandi, intercettare collegamenti SSH e sottrarre credenziali o token OAuth tramite prompt injection.

CISA inserisce la falla N-central nel catalogo KEV

La Cybersecurity and Infrastructure Security Agency ha aggiunto CVE-2026-18577 al catalogo Known Exploited Vulnerabilities, confermando la disponibilità di prove affidabili sullo sfruttamento nel mondo reale. La vulnerabilità interessa N-able N-central, piattaforma di remote monitoring and management utilizzata dai managed service provider per amministrare reti, server e workstation dei clienti. Un attaccante remoto può ottenere privilegi amministrativi sul server N-central e utilizzare le funzioni legittime della piattaforma per raggiungere gli endpoint collegati. La falla rappresenta un percorso alternativo rispetto a CVE-2026-18556, corretta inizialmente da N-able ma aggirabile sulle build successive alla prima patch. Tutte le installazioni precedenti alla versione 2026.3.1.7 devono essere considerate vulnerabili. Nel nuovo avviso CISA sull’inserimento della falla nel catalogo KEV, le agenzie federali civili statunitensi ricevono come scadenza il 6 agosto 2026, un intervallo ridotto che riflette la gravità operativa degli attacchi già osservati. L’inserimento nel KEV arriva dopo la conferma che gli aggressori hanno utilizzato Take Control per accedere ai sistemi amministrati e, in alcuni casi, installato Cloudflared come servizio persistente. Il rischio delle piattaforme RMM era già emerso nell’analisi delle vulnerabilità N-able e degli attacchi contro i server gestiti, perché una singola compromissione può propagarsi attraverso il rapporto di fiducia tra MSP e clienti. La patch del server deve essere accompagnata dalla revisione delle sessioni remote, degli account amministrativi, dei servizi installati e degli endpoint raggiunti prima dell’aggiornamento. Il catalogo KEV costituisce uno strumento di prioritizzazione basato sullo sfruttamento reale e non soltanto sulla gravità teorica del punteggio CVSS: la presenza di CVE-2026-18577 indica che gli amministratori devono cercare anche eventuali tracce di compromissione già avvenuta.

cPanel corregge una falla critica nella validazione DNSSEC

La vulnerabilità CVE-2026-33278 interessa NLnet Labs Unbound dalla versione 1.19.1 alla 1.25.0, componente distribuito da cPanel come resolver DNS locale. Il difetto risiede nella gestione di una struttura dati durante la validazione DNSSEC: una copia profonda eseguita in modo errato può sovrascrivere un puntatore di destinazione, provocando corruzione della memoria. Un server vulnerabile che elabora una risposta DNSSEC appositamente costruita può subire un arresto del servizio e, in determinate condizioni, una possibile esecuzione remota di codice. La criticità non dipende dall’accesso alla console cPanel o dalla presenza di credenziali valide, perché il contenuto malevolo può raggiungere il resolver attraverso il normale processo di risoluzione DNS. cPanel ha distribuito cpanel-unbound 1.25.1 sulle versioni supportate 126, 134 e 136, includendo anche la correzione di altre dieci vulnerabilità. Le note ufficiali di rilascio di cPanel e WHM classificano CVE-2026-33278 come critica con punteggio CVSS 9,1 e indicano la possibile esecuzione di codice durante la validazione DNSSEC. Gli amministratori devono verificare che l’aggiornamento automatico sia stato completato e che il pacchetto installato corrisponda alla versione corretta, soprattutto sui server nei quali gli aggiornamenti notturni sono stati disattivati o limitati. La stessa superficie di hosting è stata interessata nei mesi precedenti da vulnerabilità nei plugin LiteSpeed e nei meccanismi di autenticazione, raccolte nell’allarme CISA sulle falle cPanel sfruttate attivamente. In questo caso non risultano prove pubbliche di sfruttamento attivo di CVE-2026-33278, ma la combinazione tra esposizione remota, corruzione della memoria e ruolo infrastrutturale del resolver rende necessaria una patch immediata. I server rimasti su release non supportate non ricevono la versione corretta del pacchetto e devono essere aggiornati a un ramo ancora mantenuto.

Strands Agents può eseguire comandi senza consenso umano

AWS ha corretto CVE-2026-18733 nel pacchetto open source strands-agents-tools, utilizzato con l’SDK Strands Agents per fornire agli agenti AI strumenti preconfigurati. La vulnerabilità riguarda il tool shell, che permette al modello di eseguire comandi sul sistema operativo dell’host. Il componente include un meccanismo di consenso umano che dovrebbe mostrare il comando e richiedere l’approvazione prima dell’esecuzione, ma lo schema accessibile al modello esponeva anche il parametro non_interactive. Un prompt malevolo poteva impostare questo valore su true, disattivando la richiesta di conferma e consentendo l’esecuzione arbitraria di comandi senza autorizzazione dell’operatore. Il vettore più significativo è la prompt injection indiretta: l’attaccante non deve necessariamente interagire con l’agente, ma può inserire istruzioni in una pagina web, un documento, un’email o un altro contenuto che il sistema è incaricato di analizzare. Il modello interpreta il testo come un comando operativo, attiva la modalità non interattiva e utilizza la shell con i privilegi assegnati al processo. Nel bollettino AWS dedicato a CVE-2026-18733, risultano vulnerabili tutte le versioni precedenti alla 0.8.0. AWS raccomanda di aggiornare il pacchetto e di applicare la correzione anche a fork e implementazioni derivate. In attesa della patch, il tool shell non deve essere esposto ad agenti che elaborano contenuti non affidabili e l’intero processo deve essere isolato con privilegi minimi. Il problema conferma quanto osservato con Ruflo e le vulnerabilità degli agenti collegati ai server MCP: una barriera di consenso costruita nell’interfaccia non offre protezione quando il modello può modificare direttamente il parametro che la controlla. La separazione tra input non affidabile, capacità decisionali e strumenti ad alto impatto deve essere applicata a livello di codice e policy, senza affidarsi alla sola obbedienza dell’LLM.

AWS CLI espone le sessioni EMR agli attacchi man-in-the-middle

La seconda vulnerabilità AWS, CVE-2026-18654, riguarda i comandi helper di AWS CLI utilizzati per interagire con i cluster Amazon Elastic MapReduce. Le operazioni aws emr ssh, aws emr socks, aws emr put e aws emr get disabilitavano la verifica della chiave SSH dell’host attraverso un’opzione incorporata direttamente nel codice. In una rete controllata o compromessa, un attaccante posizionato tra il client e l’endpoint EMR poteva quindi impersonare il cluster, intercettare una sessione amministrativa o osservare e modificare i file trasferiti. La protezione SSH non dipende soltanto dalla cifratura del canale: la verifica della chiave dell’host serve a dimostrare che il client stia parlando con il server corretto. Disattivarla elimina la principale difesa contro l’intercettazione attiva, anche quando la connessione appare normalmente cifrata. Il bollettino AWS su CVE-2026-18654 indica come vulnerabili AWS CLI v1 fino alla 1.45.27 e AWS CLI v2 fino alla 2.35.2. Le versioni corrette sono rispettivamente 1.45.28 e 2.35.3. Non è disponibile una mitigazione alternativa, perché l’opzione SSH insicura era hardcoded e non poteva essere sovrascritta dall’utente attraverso la configurazione locale. Le organizzazioni devono aggiornare tutti i sistemi dai quali vengono amministrati i cluster EMR, comprese workstation, jump host, immagini container e pipeline automatizzate. La correzione deve essere applicata anche alle copie interne o alle versioni derivate della CLI, evitando che strumenti apparentemente aggiornati continuino a richiamare il vecchio comportamento.

Amazon MQ MCP Server può consegnare credenziali a un endpoint ostile

CVE-2026-18655 interessa awslabs.amazon-mq-mcp-server, server basato sul Model Context Protocol che permette agli assistenti AI di interagire con broker Amazon MQ. Nelle versioni fino alla 2.0.23, gli strumenti dedicati alla connessione RabbitMQ non limitavano correttamente gli endpoint autorizzati. Un attaccante remoto non autenticato poteva introdurre nel contesto del client MCP un hostname costruito appositamente e indurre il server a collegarsi a un’infrastruttura sotto il suo controllo. Durante la connessione, il componente poteva inviare all’endpoint ostile le credenziali del broker Amazon MQ o i token di accesso OAuth, trasformando una normale operazione dell’agente in un canale di esfiltrazione. Il difetto non richiede una violazione diretta del broker: sfrutta la capacità del modello e del server MCP di scegliere dinamicamente la destinazione della connessione sulla base del contesto ricevuto. Il bollettino AWS relativo ad Amazon MQ MCP Server indica la versione 2.0.24 come corretta e raccomanda, dopo l’aggiornamento, la rotazione delle credenziali del broker. L’operazione è necessaria perché la patch impedisce nuove esposizioni, ma non rende nuovamente sicuri segreti che potrebbero essere già stati inviati a un endpoint controllato da terzi. La vulnerabilità si inserisce nel problema più ampio della sicurezza degli agenti, già emerso quando Copilot ha elaborato prompt malevoli nascosti nei documenti Word. Quando un sistema AI può selezionare endpoint, aprire shell o usare credenziali cloud, ogni informazione non affidabile deve essere trattata come input potenzialmente capace di modificare il flusso operativo. Consentire soltanto destinazioni approvate, separare i segreti dal contesto del modello e applicare controlli deterministici prima dell’esecuzione diventano requisiti strutturali, non mitigazioni facoltative.