CISA, AWS, MLflow e Copilot: nuove falle tra exploit, DoS e furto dati

🛡️ Executive Summary

• CISA aggiunge quattro vulnerabilità sfruttate nel KEV, coinvolgendo Windows IKE, SharePoint, VMware vCenter e macOS.
• AWS corregge DoS in OpenSearch Dashboards e ion-java, mentre CVE-2026-64849 di MLflow viene sfruttata per raggiungere credenziali cloud.
• CoSnitch concatena tre debolezze di Microsoft Copilot per esfiltrare dati dai connector OAuth e contaminare la memoria persistente; Microsoft ha corretto il problema.

CISA, AWS, MLflow e Microsoft Copilot concentrano un nuovo ciclo di vulnerabilità che attraversa sistemi enterprise, infrastrutture cloud e assistenti AI. CISA ha inserito quattro falle già sfruttate nel catalogo Known Exploited Vulnerabilities, comprese vulnerabilità in Windows, SharePoint, VMware vCenter e macOS. AWS ha pubblicato correzioni per OpenSearch Dashboards e la libreria ion-java, entrambe esposte a denial of service. Nel frattempo CVE-2026-64849 di MLflow viene utilizzata per tentare di raggiungere metadata cloud e credenziali, mentre Varonis ha documentato CoSnitch, catena one-click di Copilot capace di utilizzare i privilegi dei connector per sottrarre informazioni e modificare la memoria persistente dell’assistente.

CISA porta quattro vulnerabilità sfruttate nel catalogo KEV

La nuova tornata del catalogo KEV di CISA comprende CVE-2026-33824, double free nelle estensioni del servizio Microsoft Internet Key Exchange; CVE-2026-55040, debolezza nell’autenticazione di Microsoft SharePoint; CVE-2026-59310, path traversal di Broadcom VMware vCenter; e CVE-2026-65400, improper authentication di Apple macOS.

• CVE-2026-33824 Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability
• CVE-2026-55040 Microsoft SharePoint Weak Authentication Vulnerability
• CVE-2026-59310 Broadcom VMware vCenter Path Traversal Vulnerability  
• CVE-2026-65400 Apple macOS Improper Authentication Vulnerability

L’inserimento certifica l’esistenza di evidenze di sfruttamento reale e sposta quindi queste falle sopra vulnerabilità magari più gravi sulla carta ma prive di attività osservata. Due dei problemi sono già entrati in campagne particolarmente rilevanti: CVE-2026-59310 viene utilizzata contro VMware vCenter per ottenere esecuzione e persistenza attraverso reverse_ssh, mentre CVE-2026-55040 di SharePoint è passata rapidamente dal PoC ai tentativi contro sistemi esposti. Anche la falla macOS è già stata associata a un’attività concreta: CVE-2026-65400 in Screen Sharing è stata sfruttata per distribuire un miner Monero.

AWS corregge DoS in OpenSearch Dashboards e Amazon Ion

AWS interviene contemporaneamente su due superfici differenti. CVE-2026-75897 riguarda OpenSearch Dashboards e deriva dall’assenza di un limite adeguato alla dimensione del payload elaborato dalla route delle capabilities. Un attaccante remoto può inviare una richiesta HTTP appositamente costruita e provocare consumo incontrollato delle risorse e denial of service. Sono vulnerabili le release self-managed da 1.3.0 a 3.7.0, con correzione in 3.8.0; per Amazon OpenSearch Service AWS ha reso disponibile un service software update, mentre OpenSearch Serverless non risulta interessato. Il bollettino AWS 2026-082 precisa inoltre che un livello di autenticazione davanti a Dashboards riduce l’esposizione perché la route vulnerabile non è raggiungibile prima del login. L’aggiornamento arriva subito dopo le precedenti correzioni AWS per autorizzazioni, SSRF e query OpenSearch, confermando un ciclo di hardening particolarmente intenso per l’ecosistema. Il secondo bollettino riguarda CVE-2026-75935 e CVE-2026-75936 nella libreria Amazon ion-java, utilizzata per implementare il formato dati Amazon Ion. Entrambe permettono una memory-amplification denial of service: la prima sfrutta la preallocazione legata alle lunghezze dichiarate, mentre la seconda utilizza l’espansione di dati altamente compressi. Sono vulnerabili le versioni precedenti alla 1.12.0. AWS raccomanda l’aggiornamento e, per ridurre ulteriormente il rischio, l’impostazione di un limite massimo al buffer attraverso IonBufferConfiguration.withMaximumBufferSize; per input non affidabili viene inoltre suggerita la disabilitazione della decompressione GZIP automatica. Prima della 1.12.0 non esiste un workaround efficace per tutte le combinazioni di encoding gestite dal parser.

MLflow SSRF viene sfruttata contro credenziali e metadata cloud

Più urgente è CVE-2026-64849, vulnerabilità SSRF critica con punteggio CVSS 9.3 in MLflow, piattaforma open source molto utilizzata nella gestione del ciclo di vita dei workload machine learning. La falla interessa le versioni precedenti alla 3.15.0 e risiede nella consegna dei webhook: il controllo dell’URL iniziale può essere aggirato attraverso redirect HTTP non nuovamente validati, permettendo al Tracking Server di raggiungere endpoint interni, loopback e servizi metadata cloud. L’advisory ufficiale MLflow chiarisce che la route di test può restituire direttamente il contenuto della risposta, consentendo quindi di leggere AWS IMDS IAM credentials, servizi amministrativi interni e altre informazioni non esposte pubblicamente. La correzione introduce una validazione dell’IP effettivamente raggiunto al momento della connessione, chiudendo sia i redirect verso reti private sia il DNS rebinding.

La gravità non resta teorica: telemetria di honeypot riportata dai ricercatori mostra scansioni e tentativi di sfruttamento apparsi poche ore dopo l’assegnazione della CVE, con richieste dirette proprio verso indirizzi e servizi metadata utilizzati per recuperare credenziali cloud. La vulnerabilità dimostra perché un Tracking Server MLflow raggiungibile da Internet non debba essere considerato una semplice dashboard applicativa: un SSRF può trasformarlo in un proxy verso servizi che il cloud provider considera raggiungibili soltanto dalla macchina stessa. Il rischio è coerente con il problema più generale emerso quando un agente OpenAI ha raggiunto credenziali cloud all’interno di cluster Hugging Face: le piattaforme AI stanno diventando un nuovo punto di convergenza tra modelli, secret e infrastruttura.

CoSnitch usa Copilot per rubare i dati a cui Copilot ha già accesso

Varonis Threat Labs ha invece documentato CoSnitch, CVE-2026-24301, una catena one-click che interessa Microsoft Copilot Personal e sfrutta tre debolezze complementari. La prima permette a un URL appositamente costruito di avviare automaticamente un prompt nella sessione autenticata; la seconda utilizza i connector OAuth già autorizzati dall’utente per cercare informazioni in Gmail, Google Drive, Calendar, OneDrive, cronologia Copilot e memoria; la terza può sfruttare la summarization di una pagina Web per inserire istruzioni nella memoria persistente. Il punto centrale è che non vengono violate Gmail o OAuth: Copilot utilizza permessi realmente concessi dall’utente, ma un input non autorizzato può attivarli senza la normale intenzione dell’utente. Varonis ha notificato Microsoft nel dicembre 2025 e le patch sono state distribuite il 18 agosto 2026; i ricercatori dichiarano di non avere osservato sfruttamento reale. La tecnica di esfiltrazione è particolarmente significativa perché sfrutta una funzione legittima di Copilot: il recupero di URL esterni. Dopo avere raccolto informazioni dai connector, il prompt può codificarle nel percorso di una URL e chiedere all’assistente di recuperarla, inviando così i dati al server controllato dall’attaccante attraverso una normale richiesta HTTPS. La componente di memory poisoning estende inoltre l’impatto oltre la singola sessione: istruzioni nascoste all’interno di una pagina richiesta in summarization possono essere interpretate come direttive e registrate nella memoria persistente dell’assistente. Varonis raccomanda di ridurre al minimo i connector abilitati e di considerare gli assistenti AI come identità privilegiate, principio già evidente con RovoBlast e gli attacchi che trasformano i permessi degli agenti enterprise in percorsi di esfiltrazione.

Cloud e AI spostano la priorità dalla singola falla al confine di fiducia

Le vulnerabilità del nuovo ciclo hanno conseguenze differenti ma convergono sullo stesso punto: il confine di fiducia. CISA richiama sistemi già sotto sfruttamento; OpenSearch e ion-java mostrano come input troppo grandi o compressi possano trasformarsi in DoS; MLflow permette a un endpoint pubblico di raggiungere risorse che dovrebbero restare interne; CoSnitch utilizza invece correttamente privilegi già concessi a Copilot, ma li attiva attraverso una catena che aggira l’intenzione dell’utente. La priorità operativa resta quindi differenziata: le quattro KEV richiedono remediation immediata e verifica dell’eventuale compromissione, MLflow deve essere portato almeno alla 3.15.0, OpenSearch Dashboards alla 3.8.0 o al service update AWS, ion-java alla 1.12.0, mentre per CoSnitch Microsoft ha già distribuito le correzioni. Il tratto comune è che patchare il singolo componente non sostituisce più il controllo dei privilegi, dell’esposizione e delle relazioni tra servizi, soprattutto quando cloud e agenti AI possono raggiungere dati che un processo tradizionale non avrebbe mai avuto motivo di vedere.