Next.js corregge due RCE critiche: allarme PaperCut e falla Kiro

🛡️ Executive Summary

• Next.js corregge due RCE senza autenticazione legate all’ottimizzazione AVIF e ai server ospitati su filesystem Windows.
• PaperCut conferma attacchi contro server NG e MF esposti su Internet e distribuisce patch d’emergenza per le versioni 25 e 26.
• Un workspace malevolo poteva sfruttare Kiro Powers per leggere dati locali sensibili ed esfiltrarli verso un’infrastruttura controllata dall’attaccante.

Tre nuove emergenze mostrano come file apparentemente passivi, servizi amministrativi esposti e repository software possano trasformarsi in vettori di compromissione. Next.js ha corretto due vulnerabilità critiche capaci di consentire esecuzione di codice senza autenticazione, una delle quali attivabile attraverso immagini AVIF. PaperCut indaga su attacchi zero-day confermati contro server NG e MF raggiungibili da Internet e ha distribuito patch d’emergenza. Sul fronte degli strumenti di sviluppo AI, una prompt injection in Amazon Kiro permetteva a un workspace manipolato di influenzare l’agente, raggiungere dati locali e trasferirli all’esterno attraverso le funzionalità di Kiro Powers.

Next.js corregge le RCE nelle immagini AVIF e nei server Windows

Vercel ha pubblicato Next.js 15.5.24 e 16.3.3 per correggere due vulnerabilità critiche che consentono remote code execution senza autenticazione. La prima, identificata come GHSA-2xp9-vwfh-vxw4 e valutata CVSS 9.5, interessa l’API di ottimizzazione delle immagini quando l’applicazione elabora file AVIF controllati dall’attaccante. Il problema deriva da libheif, libreria utilizzata da sharp, a sua volta impiegata da Next.js per trasformare le immagini. Un file appositamente costruito può quindi raggiungere il componente vulnerabile durante l’ottimizzazione ed eseguire codice sul server senza credenziali e senza interazione dell’utente. Sono interessate le versioni a partire dalla 10.0.0 e precedenti alla 15.5.24, oltre alle release della linea 16 precedenti alla 16.3.3. Le versioni corrette disabilitano temporaneamente l’ottimizzazione AVIF in attesa che la correzione della dipendenza upstream venga distribuita lungo l’intera catena. La seconda falla, CVE-2026-75604, ha ottenuto un punteggio CVSS 9.0 e colpisce le applicazioni che utilizzano contemporaneamente Pages Router e App Router, senza Cache Components, su server basati su filesystem Windows. Linux e macOS non risultano coinvolti. Vercel precisa nella comunicazione ufficiale sulla release di sicurezza di agosto che non esiste un workaround per le installazioni Windows vulnerabili: l’aggiornamento deve essere applicato immediatamente.

Leggi anche: UAT-10608 sfrutta React2Shell per rubare segreti dalle applicazioni Next.js

PaperCut conferma attacchi zero-day contro server NG e MF

PaperCut ha avviato una risposta d’emergenza dopo avere confermato incidenti presso alcuni clienti e riprodotto una vulnerabilità nei prodotti PaperCut NG e PaperCut MF grazie alle informazioni fornite dal team di sicurezza e digital forensics di un’università. Il produttore non ha ancora pubblicato i dettagli tecnici della falla, un identificatore CVE o informazioni sugli attori coinvolti, ma dichiara potenzialmente interessate tutte le versioni dei due prodotti. Il rischio immediato riguarda gli Application Server con interfacce web accessibili dalla rete pubblica. Nell’advisory urgente pubblicato da PaperCut il vendor ordina agli amministratori di limitare immediatamente l’accesso agli indirizzi IP fidati attraverso firewall, controlli di rete o misure equivalenti. Sono inoltre disponibili patch d’emergenza per le linee 25 e 26, distribuite senza il normale processo di validazione previsto per una release ordinaria; la correzione per la versione 24 risulta ancora in preparazione. Tra gli indicatori di compromissione segnalati figurano attività sospette attribuite al processo legittimo pc-app.exe, file server.log mancanti, cancellati o troncati e gli errori No suitable driver found for jdbc:no:x e Database error looking up cardID: VALUES CAST. PaperCut avverte però che l’assenza di questi segnali non dimostra che il server sia rimasto integro. Non è ancora noto se gli attaccanti abbiano sottratto dati, installato persistenza o utilizzato i sistemi compromessi per raggiungere altre risorse aziendali.

Kiro Powers trasformava un workspace malevolo in un canale di esfiltrazione

La terza vulnerabilità riguarda Amazon Kiro, IDE agentico capace di leggere repository, modificare file, utilizzare strumenti MCP e automatizzare attività di sviluppo. La falla, priva di identificatore CVE, è stata riprodotta sulla versione 0.7.45 per Windows e corretta nella 0.8.140. L’attacco richiedeva che lo sviluppatore aprisse un progetto malevolo attraverso un file workspace e inviasse successivamente un messaggio all’agente. Non era necessario inserire direttamente un prompt ostile né richiamare esplicitamente il contenuto manipolato: le istruzioni collocate nei file del progetto venivano interpretate come contesto operativo. La catena sfruttava Kiro Powers, funzione che può riunire configurazioni di server Model Context Protocol, file POWER.md, hook e conoscenze contestuali. Il contenuto controllato dall’attaccante influenzava l’agente, induceva la lettura di informazioni locali sensibili e faceva confluire i dati in una configurazione capace di generare traffico verso un endpoint esterno. La ricerca tecnica pubblicata da Mindgard descrive lo stesso confine di fiducia fragile tra steering file, accesso ai dati e richieste di rete. La nuova scoperta segue la precedente RCE di Kiro attivabile attraverso contenuti web avvelenati e modifiche alla configurazione MCP, confermando che gli IDE agentici devono considerare repository, documentazione e workspace come input non attendibili.

File passivi e funzioni legittime diventano strumenti dell’attaccante

Le tre vulnerabilità coinvolgono prodotti differenti, ma condividono una dinamica precisa: un componente considerato affidabile assegna capacità eccessive a un contenuto proveniente dall’esterno. In Next.js il file AVIF raggiunge una libreria nativa utilizzata dal server per ottimizzare le immagini; la compromissione non richiede che l’utente esegua volontariamente un programma. In PaperCut un servizio amministrativo progettato per controllare l’infrastruttura di stampa diventa un punto d’ingresso quando la sua interfaccia rimane esposta su Internet. In Kiro, infine, il contenuto del repository non resta semplice documentazione per il modello, ma può influenzare un agente autorizzato a leggere file, modificare configurazioni e attivare strumenti. Il rischio cresce perché queste applicazioni operano spesso vicino a dati di valore: variabili d’ambiente, token cloud, chiavi API, sorgenti privati, code di stampa e credenziali amministrative. La sola patch del componente vulnerabile potrebbe quindi non essere sufficiente se l’attaccante ha già ottenuto accesso. Gli ambienti potenzialmente compromessi devono essere esaminati per individuare processi anomali, modifiche ai file, connessioni in uscita, nuovi meccanismi di persistenza e credenziali utilizzate dopo il primo accesso.

Continua con:

• Repository GitHub trasformati in vettori di prompt injection contro gli agenti AI
• TeamCity sfruttato e nuove falle negli agenti AWS, Google e Vercel

Aggiornamenti e controlli da applicare immediatamente

Gli amministratori di Next.js devono aggiornare le dipendenze alle versioni 15.5.24 o 16.3.3, ridistribuire le applicazioni e verificare che nessuna istanza vulnerabile rimanga attiva in ambienti di staging, container dimenticati o server Windows secondari. Chi accetta immagini caricate dagli utenti deve controllare i log delle richieste e gli eventi generati dai processi di ottimizzazione. Per PaperCut NG e MF la priorità consiste nel rimuovere le interfacce amministrative dall’esposizione pubblica, applicare la patch d’emergenza disponibile e avviare un controllo forense anche quando gli indicatori pubblicati non risultano presenti. I sistemi già compromessi potrebbero richiedere il ripristino da una copia sicura e la rotazione delle credenziali accessibili dal server. Gli utenti di Kiro devono installare una versione recente, evitare workspace di origine sconosciuta e separare l’ambiente di sviluppo dai segreti di produzione. Le autorizzazioni dell’agente, dei server MCP e degli hook devono seguire il principio del privilegio minimo. Il punto operativo comune resta netto: aggiornare il software, ridurre l’esposizione e non concedere automaticamente capacità privilegiate a file o progetti non verificati.