CISA segnala Oracle mentre miniOrange e Calix aprono nuove falle senza autenticazione

🛡️ Executive Summary

• CISA inserisce CVE-2026-21962 nel KEV dopo evidenze di sfruttamento contro Oracle HTTP Server e WebLogic Server Proxy Plug-in.
• Gli attaccanti concatenano CVE-2026-61979 e CVE-2026-15981 nel plugin SAML miniOrange per entrare in WordPress come amministratori.
• Calix CVE-2026-75501 espone il servizio UPnP sulla WAN e permette a chiunque su Internet di creare port forwarding persistenti verso la LAN.

Tre vulnerabilità differenti mostrano quanto il confine tra Internet e sistemi interni possa crollare senza bisogno di credenziali. CISA ha aggiunto CVE-2026-21962 al catalogo Known Exploited Vulnerabilities dopo aver rilevato sfruttamento reale contro componenti Oracle. Parallelamente, siti WordPress vengono già bersagliati attraverso due falle nel plugin miniOrange SAML 2.0 Single Sign On, concatenabili fino al login amministrativo. Il terzo fronte interessa i gateway residenziali Calix GS7 XGS, dove CVE-2026-75501 consente di comandare da Internet il servizio UPnP e creare regole NAT verso dispositivi interni. Tre prodotti diversi, ma lo stesso risultato: una barriera di sicurezza che dovrebbe fermare l’attaccante viene semplicemente saltata.

CISA porta nel KEV una falla Oracle CVSS 10.0 già corretta da gennaio

La nuova comunicazione CISA aggiunge al catalogo KEV la vulnerabilità CVE-2026-21962, confermando che non si tratta più di un rischio teorico. Il difetto interessa Oracle HTTP Server e Oracle WebLogic Server Proxy Plug-in, in particolare i componenti Proxy Plug-in per Apache HTTP Server e Microsoft IIS nelle versioni 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0. Oracle assegna alla falla il punteggio massimo CVSS 10.0, con vettore remoto, bassa complessità, nessuna autenticazione e nessuna interazione dell’utente. La vulnerabilità era già stata corretta nel Critical Patch Update Oracle di gennaio 2026, ma l’ingresso nel KEV dimostra ancora una volta che la disponibilità della patch non coincide con la sua applicazione. È lo stesso principio alla base della prioritizzazione delle vulnerabilità realmente sfruttate attraverso il catalogo CISA: quando una CVE entra nel KEV, il problema non è più stimare se qualcuno potrebbe sfruttarla, ma capire quanti sistemi vulnerabili siano ancora esposti.

Il problema Oracle riguarda il proxy HTTP davanti a WebLogic

La superficie interessata va delimitata con precisione. CVE-2026-21962 non significa che qualsiasi installazione WebLogic sia automaticamente vulnerabile. Oracle colloca il problema nel WebLogic Server Proxy Plug-in utilizzato con Apache HTTP Server e IIS, compresi gli scenari nei quali il componente viene distribuito attraverso Oracle HTTP Server. Questo rende la falla particolarmente delicata perché il proxy è proprio uno dei componenti destinati a ricevere traffico proveniente dalla rete e inoltrarlo verso i servizi applicativi interni. Un difetto remoto senza autenticazione in questo livello può quindi trasformare l’infrastruttura che dovrebbe mediare l’accesso in un punto d’ingresso. L’inserimento nel KEV dovrebbe spingere gli amministratori a verificare non soltanto la versione di WebLogic, ma quali proxy plug-in siano effettivamente installati e raggiungibili, evitando di considerare al sicuro un ambiente soltanto perché il backend non è direttamente esposto a Internet.

miniOrange permette di falsificare risposte SAML e diventare amministratori WordPress

Il secondo fronte riguarda SAML, quindi ancora una volta il punto nel quale dovrebbe essere verificata l’identità. Il plugin miniOrange SAML 2.0 Single Sign On viene utilizzato per collegare WordPress a provider aziendali come Microsoft Entra ID, Okta, Google Workspace e OneLogin. Due vulnerabilità, CVE-2026-61979 e CVE-2026-15981, permettono però di aggirare la verifica delle risposte SAML. La ricerca tecnica di Patchstack conferma che sono già stati osservati tentativi di sfruttamento reali, compresa una catena rilevata da DigitalOcean contro la versione Standard 16.1.9. L’impatto può arrivare all’accesso come qualsiasi utente WordPress esistente, amministratori compresi. Per siti che utilizzano WordPress come CMS aziendale o front-end di servizi più ampi, ottenere un cookie amministrativo significa poter installare plugin, modificare temi, creare utenti e trasformare rapidamente il sito in un punto di distribuzione malware o phishing. È una dinamica già osservata in numerose compromissioni WordPress nelle quali un singolo plugin vulnerabile apre l’intero CMS.

Una chiave pubblica diventa il segreto HMAC dell’attaccante

La prima falla, CVE-2026-61979, nasce da una scelta particolarmente pericolosa nella gestione degli algoritmi di firma. Il plugin accetta l’algoritmo specificato nella risposta SAML e può essere indotto a utilizzare HMAC-SHA1 invece di imporre esclusivamente algoritmi asimmetrici configurati. A quel punto il certificato pubblico RSA dell’Identity Provider viene trattato come se fosse il segreto condiviso HMAC. Il problema è evidente: una chiave pubblica è pubblica per definizione. L’attaccante può quindi utilizzarla per costruire una firma HMAC che il plugin considera valida. Patchstack valuta questa vulnerabilità CVSS 8.1 e indica per l’edizione gratuita la correzione a partire dalla versione 5.4.4. Il secondo difetto, CVE-2026-15981, è ancora più diretto: la funzione di verifica utilizza in maniera errata il valore restituito da openssl_verify(), interpretando anche l’errore -1 come risultato truthy e quindi come verifica riuscita. Un SAMLResponse con firma intenzionalmente malformata può così superare il controllo. La falla raggiunge CVSS 9.8 ed è corretta nella versione gratuita 5.4.5.

Sette edizioni miniOrange hanno creato un buco anche nella comunicazione delle patch

Il problema non si ferma al codice. miniOrange distribuisce sotto lo stesso ecosistema sette edizioni con numerazioni differenti, mentre gli advisory pubblici iniziali hanno riguardato essenzialmente la versione gratuita. Secondo Patchstack, le sei edizioni commerciali sono state corrette ma senza una comunicazione pubblica equivalente, creando la situazione paradossale nella quale alcuni amministratori non ricevevano nemmeno un avviso di aggiornamento nella dashboard WordPress. Le versioni corrette indicate sono 5.4.5 per Free Single Site, 13.0.4 per Premium Single Site, 17.06 per Standard Single Site, 20.2.8 per Premium/Enterprise/All-Inclusive Multisite, 26.0.3 per Enterprise/All-Inclusive Single Site, 32.0.8 per VIP Single Site e 35.0.7 per VIP Multisite. La presenza di un PoC pubblico e di scanning opportunistico rende l’aggiornamento prioritario. Il precedente sfruttamento di plugin WordPress inseriti nelle catene CISA e WP2Shell ha già mostrato quanto breve possa essere la distanza tra disclosure e compromissioni automatizzate.

Calix lascia UPnP esposto sulla WAN senza autenticazione

Il caso Calix è forse il più intuitivo da comprendere perché elimina direttamente il ruolo protettivo del router. La vulnerabilità CVE-2026-75501 interessa il gateway Calix GS7 XGS, modello GS5239XG, commercializzato anche come GigaSpire 7u10txg, con firmware EXOS fino alla versione 6.6.47 indicata come vulnerabile. Secondo CERT/CC VU#756733, il dispositivo espone il servizio MiniUPnPd WANIPConnection sulla propria interfaccia WAN TCP 5000 senza controlli di autenticazione. Un aggressore remoto può quindi inviare richieste SOAP per aggiungere, cancellare o enumerare port mapping e ottenere l’indirizzo IP pubblico del gateway. Il risultato è un bypass pratico della separazione tra Internet e LAN: l’attaccante può ordinare al router di inoltrare una porta pubblica verso telecamere IP, NAS, interfacce amministrative, IoT o altri sistemi interni.

Il NAT viene bucato con una sola richiesta e la regola sopravvive al reboot

Il ricercatore Brian Khan Quintana ha verificato che una regola creata attraverso il servizio esposto può essere configurata senza scadenza e rimanere attiva anche dopo il riavvio del gateway. Non è necessario compromettere l’account dell’amministratore, indovinare la password Wi-Fi o trovarsi sulla rete locale. Il servizio che normalmente permette ai dispositivi domestici di chiedere automaticamente al router l’apertura di una porta è stato semplicemente reso raggiungibile dall’esterno. Il risultato ricorda le tecniche di NAT hijacking analizzate nelle nuove vulnerabilità dei protocolli di rete, ma qui non è necessaria una complessa manipolazione del traffico: è il gateway stesso a fornire all’attaccante l’API necessaria per modificare il port forwarding. Considerando che Calix opera con numerosi broadband provider, il rischio non riguarda soltanto utenti tecnici che hanno installato autonomamente un router consumer.

CVE-2026-75501 non ha ancora una patch

A differenza dei problemi Oracle e miniOrange, per CVE-2026-75501 non risulta ancora disponibile una correzione firmware pubblica. CERT/CC ha coordinato la disclosure dopo tentativi non riusciti del ricercatore di ottenere una risposta dal vendor. La mitigazione disponibile consiste nel disabilitare UPnP dall’interfaccia amministrativa, normalmente sotto Advanced → Security → UPnP. La misura può compromettere l’apertura automatica delle porte utilizzata da alcuni giochi e applicazioni, ma le regole necessarie possono essere configurate manualmente. In alcuni gateway forniti direttamente dagli ISP l’impostazione potrebbe risultare bloccata, rendendo necessario contattare l’operatore. Il caso arriva mentre i router stanno diventando sempre più frequentemente nodi offensivi, proxy e persino dispositivi distribuiti con backdoor, come dimostrato dalla vicenda Zbtlink e del framework ENDLESSDOORS preinstallato.