TeamCity sfruttato, falle negli agenti AWS, Google e Vercel

🛡️ Executive Summary

• CISA inserisce CVE-2026-63077 nel KEV dopo attacchi contro TeamCity capaci di eseguire codice senza autenticazione.
• AWS, Google e Vercel correggono falle che permettono di attivare strumenti degli agenti senza una decisione valida del modello.
• Due server MCP di AWS espongono scrittura arbitraria di file e modifiche ai database nonostante la modalità di sola lettura.

CISA ha inserito nel catalogo Known Exploited Vulnerabilities una falla critica di JetBrains TeamCity sfruttata attivamente per eseguire codice sui server di integrazione continua. Parallelamente, AWS, Google e Vercel hanno corretto vulnerabilità nelle rispettive infrastrutture per agenti AI che consentivano di attivare strumenti senza una decisione autentica del modello. Due ulteriori bollettini AWS riguardano i server MCP per AWS Transform e Amazon DocumentDB, esposti rispettivamente alla scrittura arbitraria di file e al superamento della modalità read-only. Il filo comune è l’assenza di una verifica forte tra comando ricevuto, autorizzazione concessa e operazione realmente eseguita.

TeamCity entra nel catalogo CISA delle falle sfruttate

La vulnerabilità CVE-2026-63077 interessa JetBrains TeamCity On-Premises, piattaforma utilizzata per gestire build, test e distribuzione del software. Il difetto risiede nel protocollo di polling degli agenti e permette a un attaccante remoto non autenticato di inviare dati serializzati costruiti appositamente, ottenendo l’esecuzione arbitraria di codice sul server. L’inserimento nel catalogo KEV di CISA conferma che la falla non rappresenta soltanto un rischio teorico, ma viene già utilizzata in attacchi reali. Un server TeamCity compromesso può esporre repository, token GitHub, credenziali cloud, chiavi di firma, segreti delle pipeline e accessi agli ambienti di produzione. Gli operatori possono inoltre modificare gli script di build o gli artefatti prima della distribuzione, trasformando l’intrusione iniziale in un incidente supply chain. Le organizzazioni devono installare le versioni corrette indicate da JetBrains e verificare processi figli anomali avviati dalla JVM, nuovi agenti di build, modifiche ai progetti, file inattesi nelle directory dell’applicazione e connessioni esterne provenienti dal server. La priorità assegnata da CISA conferma il valore strategico delle piattaforme DevOps, già evidente nelle campagne che sfruttano GitHub Actions e runner per raggiungere server aziendali. Patchare TeamCity senza ruotare le credenziali accessibili al servizio può lasciare nelle mani degli attaccanti token ancora validi verso sistemi esterni.

AgentCore eseguiva strumenti senza interrogare il modello

CVE-2026-18830, con punteggio CVSS 8,6, interessa l’API InvokeHarness di Amazon Bedrock AgentCore. Un utente remoto autenticato poteva inserire nell’ultimo messaggio della richiesta un blocco strutturato tool-use, inducendo il ciclo operativo dell’agente a eseguire direttamente lo strumento specificato senza invocare il modello. Il sistema interpretava la forma del messaggio come prova sufficiente dell’esistenza di una decisione prodotta dall’LLM, ma il contenuto proveniva in realtà dal chiamante. AWS ha applicato entro il 31 luglio 2026 una validazione server-side che rifiuta i blocchi tool-use inseriti direttamente dagli utenti, senza richiedere interventi ai clienti del servizio gestito. Il rischio dipendeva dagli strumenti collegati all’harness: un agente privo di funzioni sensibili offriva un impatto limitato, mentre un sistema autorizzato a interrogare database, modificare infrastrutture o usare segreti cloud poteva trasferire quelle capacità al chiamante. La superficie si collega alle precedenti vulnerabilità corrette da AWS in AgentCore e Strands Agents, dove parametri controllabili dal modello o dall’utente potevano aggirare le conferme previste. Il controllo decisivo deve essere applicato nel runtime, associando ogni invocazione dello strumento a uno specifico evento del modello, alla sessione, agli argomenti autorizzati e allo stato di approvazione.

Google ADK accettava conferme e chiamate forgiate

Google Agent Development Kit per Python presentava due percorsi distinti capaci di raggiungere gli strumenti senza una valida decisione del modello. Il primo, identificato come CVE-2026-18236 e valutato CVSS 9,3, permetteva a un soggetto in grado di manipolare la cronologia della sessione di falsificare la conferma richiesta per uno strumento sensibile. Il processore non verificava adeguatamente che il tool appartenesse all’agente in esecuzione, che richiedesse realmente l’approvazione e che nome e argomenti corrispondessero alla chiamata originaria. La correzione pubblicata nel repository Google ADK aggiunge questi controlli e blocca la modifica degli argomenti durante la continuazione. Un secondo problema riguardava la modalità resumable, nella quale eventi scritti dall’utente potevano contenere parti function_call interpretate direttamente come richieste di esecuzione. Google ha eliminato anche questo percorso nella versione ADK 2.5.0, rifiutando le function call presenti nei messaggi attribuiti all’utente. Le due vulnerabilità non sono semplici casi di prompt injection: l’attaccante non convince l’LLM a ignorare le istruzioni, ma raggiunge il dispatcher senza che il modello venga interrogato. Il problema conferma i rischi già osservati quando workflow Google ADK potevano collegare agenti pubblici ad automazioni GitHub privilegiate.

Vercel esponeva gli strumenti host dal sandbox Linux

Le vulnerabilità CVE-2026-64650 e CVE-2026-64651 riguardano rispettivamente i pacchetti @ai-sdk/harness-codex fino alla versione 1.0.28 e @ai-sdk/harness-opencode fino alla 1.0.27. I componenti collegano gli agenti di coding eseguiti in un sandbox Linux con strumenti disponibili sull’host, come accesso ai segreti, operazioni di deployment e API cloud. Il relay considerava attendibile un processo quando la sua riga di comando conteneva il percorso di uno script helper approvato. Codice malevolo già attivo nel sandbox poteva imitare questa condizione e inviare richieste agli strumenti host senza una corrispondente autorizzazione prodotta dal modello. Gli advisory Vercel per Codex Harness e OpenCode Harness indicano come corrette le versioni 1.0.29 e 1.0.28. Il nuovo relay accetta soltanto richieste collegate a un’autorizzazione esatta, temporanea e utilizzabile una sola volta, generata dopo l’osservazione di un evento legittimo del modello. L’attacco richiedeva già la presenza di codice non affidabile nel sandbox, ad esempio tramite una dipendenza malevola, uno script di build o un hook del ciclo di installazione. Questa condizione non riduce il problema negli ambienti di sviluppo, dove l’esecuzione di componenti esterni è frequente e la barriera tra sandbox e host serve proprio a contenerne gli effetti. La superficie richiama AgentBaiting, che usa repository GitHub falsi per consegnare malware agli agenti di sviluppo.

AWS Transform MCP può scrivere file fuori dalla directory prevista

CVE-2026-18953 interessa AWS Transform MCP Server nelle versioni dalla 0.1.0 alla 0.1.4. Il server viene eseguito localmente sul computer dello sviluppatore e permette agli assistenti AI di avviare trasformazioni del codice e recuperare gli artefatti prodotti. Il parametro savePath dello strumento get_resource non limitava correttamente il percorso alla directory di lavoro prevista. Un soggetto capace di influenzare il contesto dell’agente poteva indicare una destinazione esterna, provocando la scrittura arbitraria di file e creando, in condizioni favorevoli, un percorso verso l’esecuzione locale di codice. Nel bollettino AWS 2026-075 il produttore indica la versione 0.1.5 come prima release corretta e precisa che non esistono workaround basati sulla configurazione, perché il percorso vulnerabile è presente nelle impostazioni predefinite. Il caso dimostra perché i server MCP locali debbano essere trattati come software con accesso operativo alla workstation e non come semplici interfacce testuali. La crescita del protocollo era già emersa con AWS MCP stateless e l’espansione degli agenti verso migrazioni e infrastrutture cloud, ma ogni strumento aggiunto aumenta il numero di operazioni che un input non affidabile può tentare di raggiungere.

DocumentDB MCP superava la modalità di sola lettura

CVE-2026-18954 colpisce Amazon DocumentDB MCP Server nelle versioni precedenti alla 1.0.12. Il componente consente agli assistenti AI di interrogare database DocumentDB e include una modalità read-only destinata a impedire modifiche ai dati. La protezione non bloccava però gli stadi di aggregazione $out e $merge, che possono scrivere i risultati di una pipeline in una collezione. Un client MCP autenticato poteva quindi effettuare operazioni di scrittura nonostante la configurazione dichiarasse il server come destinato alla sola lettura. Nel bollettino AWS 2026-076 viene raccomandato l’aggiornamento alla versione 1.0.12 e, come difesa aggiuntiva, l’uso di credenziali database appartenenti a un utente realmente privo di privilegi di scrittura. Questa seconda misura applica il controllo direttamente sul database e impedisce che un errore del server MCP trasformi una policy applicativa in un’autorizzazione inesistente. Le vulnerabilità AWS, Google e Vercel convergono sullo stesso principio: la sicurezza dell’agente non può dipendere dal fatto che un messaggio assomigli a una tool call, che una configurazione dichiari una modalità read-only o che un processo presenti un percorso apparentemente affidabile. Ogni operazione deve essere autorizzata nuovamente nel punto in cui viene eseguita.