Switchvox sfruttato, WordPress espone milioni di utenti e AWS correggono falle

🛡️ Executive Summary

• CISA inserisce sette nuove vulnerabilità nel KEV, tra cui falle già sfruttate contro Sangoma Switchvox, SonicWall SMA1000 e JFrog Artifactory.
• All-in-One WP Migration espone oltre 5 milioni di installazioni WordPress a una SQL injection di secondo ordine capace di arrivare alla RCE.
• AWS corregge CVE-2026-84851 in Amazon Ion-C 1.1.6 introducendo un limite alla ricorsione che impedisce il crash delle applicazioni.

Una nuova ondata di vulnerabilità impone di distinguere con precisione tra falle già sfruttate, problemi ad alto impatto ancora legati a condizioni operative e bug che richiedono soprattutto aggiornamenti preventivi. CISA ha inserito sette nuove CVE nel Known Exploited Vulnerabilities Catalog, comprendendo Sangoma Switchvox, SonicWall SMA1000, JFrog Artifactory, Kestra, Starlette e LiteLLM. Parallelamente, WordPress affronta CVE-2026-19949 nel plugin All-in-One WP Migration and Backup, installato su oltre 5 milioni di siti, mentre AWS corregge CVE-2026-84851 nella libreria Amazon Ion-C. Il quadro arriva poche ore dopo i nuovi attacchi contro JFrog Artifactory e altre infrastrutture che custodiscono credenziali cloud e software, confermando quanto rapidamente disclosure e sfruttamento reale possano ormai convergere.

CISA aggiunge sette vulnerabilità già sfruttate al catalogo KEV

Nell’allerta pubblicata il 2 settembre, CISA inserisce nel KEV CVE-2026-9586 per Sangoma Switchvox, CVE-2026-48710 per Kludex Starlette, CVE-2026-49869 per Kestra OSS, CVE-2026-59822 per BerriAI LiteLLM, CVE-2026-82329 per JFrog Artifactory e le due vulnerabilità CVE-2026-83548 e CVE-2026-83549 delle appliance SonicWall SMA1000. L’elemento determinante non è il solo punteggio CVSS: l’ingresso nel KEV indica che CISA dispone di evidenze di sfruttamento reale, trasformando la vulnerabilità da rischio teorico a priorità di remediation. Le debolezze coprono superfici molto differenti: SQL injection, HTTP request/response smuggling, command injection, authentication bypass, SSRF e accesso privilegiato a piattaforme centrali per telefonia, accesso remoto, supply chain software e infrastrutture AI. La progressione conferma il modello già osservato nella precedente espansione del KEV che aveva coinvolto Avada, Citrix e vulnerabilità storiche ancora sfruttate: la priorità difensiva deve essere guidata anche dall’attività ostile osservata e non esclusivamente dalla gravità teorica assegnata alla CVE.

Leggi anche: SonicWall SMA1000 e Sangoma Switchvox erano già sotto attacco prima del nuovo aggiornamento CISA

Switchvox trasforma una SQL injection anonima in una reverse shell

Il caso tecnicamente più immediato è CVE-2026-9586, vulnerabilità critica di Sangoma Switchvox SMB Edition valutata CVSS 9.3. L’analisi tecnica pubblicata da Horizon3.ai ricostruisce una SQL injection nell’endpoint HTTP non autenticato /pa, utilizzato per gestire notifiche destinate ai telefoni collegati alla piattaforma VoIP. L’applicazione riceve un messaggio XML, estrae il valore controllabile PhoneIP e lo concatena direttamente all’interno di una query PostgreSQL senza una parametrizzazione adeguata. Un aggressore remoto può così inserire statement SQL arbitrari e sfruttare le capacità del database per raggiungere l’esecuzione di comandi sul sistema operativo. Horizon3.ai e Defused Cyber hanno osservato dal 30 agosto 2026 tentativi validi contro più honeypot in rapida successione, con payload destinati ad aprire una reverse shell, enumerare i processi in esecuzione ed esfiltrare i risultati verso infrastrutture remote. L’indirizzo 176.65.148[.]184 è stato associato all’attività osservata e le installazioni possono conservare tracce delle query malevole in /var/log/switchvox/db-quirks.log. La vulnerabilità era stata comunicata a Sangoma già il 10 aprile, corretta nella versione Switchvox 8.4.0.2 distribuita il 14 luglio e monitorata attraverso honeypot prima che comparissero gli attacchi reali. Horizon3.ai stimava circa 4.000 sistemi Switchvox esposti a Internet, prevalentemente negli Stati Uniti, e considera probabile che una parte consistente delle istanze raggiungibili sia già stata sottoposta a scansione o tentativi di exploit. Per gli amministratori l’aggiornamento non dovrebbe quindi essere trattato come semplice manutenzione: i sistemi rimasti esposti con versioni vulnerabili richiedono anche analisi dei log, connessioni in uscita e processi anomali.

All-in-One WP Migration espone WordPress a una RCE differita

CVE-2026-19949 presenta una dinamica diversa e particolarmente insidiosa perché l’exploit può rimanere dormiente fino a quando l’amministratore compie una normale operazione di backup e ripristino. L’analisi di Wordfence classifica il problema come second-order SQL injection con punteggio CVSS 8.8 e interessa All-in-One WP Migration and Backup fino alla versione 7.109 inclusa. Il plugin conta oltre 5 milioni di installazioni attive e gestisce esportazione, importazione e migrazione dell’intero sito, compresi database, plugin, temi e contenuti multimediali. L’attaccante non deve autenticarsi: può depositare dati appositamente costruiti attraverso la funzione trackback di WordPress su un contenuto che accetta ping.

Il payload non viene eseguito immediatamente, ma rimane memorizzato nel database. Il passaggio critico avviene successivamente, quando un amministratore esporta e poi importa l’archivio .wpress: durante la riscrittura degli URL e dei prefissi delle tabelle, una gestione errata di backslash e delimitatori permette al contenuto controllato dall’aggressore di uscire dalla stringa SQL e diventare codice interrogabile dal database. La catena descritta da Wordfence può far emergere ai1wm_secret_key, la chiave utilizzata dal plugin per proteggere la funzione di importazione, pubblicandola attraverso un commento recuperabile senza autenticazione. Ottenuta la chiave, l’aggressore può pilotare l’importazione di un archivio .wpress contenente codice eseguibile, fino alla creazione di un must-use plugin malevolo e alla completa compromissione del sito. ServMask ha distribuito la correzione nella versione 7.110 il 20 agosto. Il nuovo problema arriva a pochi giorni da altre cinque vulnerabilità WordPress capaci di produrre takeover amministrativo e Remote Code Execution, rafforzando la necessità di inventariare non solo i plugin attivi ma anche quelli conservati e riattivati periodicamente per operazioni amministrative.

Amazon Ion-C 1.1.6 introduce un limite contro la ricorsione incontrollata

Sul fronte AWS non risultano, nelle informazioni pubblicate dal produttore, indicazioni di sfruttamento attivo paragonabili alle vulnerabilità del KEV. CVE-2026-84851 riguarda però un componente che può essere integrato direttamente nelle applicazioni: Amazon Ion-C, implementazione in linguaggio C del formato di serializzazione Amazon Ion. Nel bollettino di sicurezza 2026-094-AWS Amazon descrive una condizione di uncontrolled recursion nelle versioni precedenti alla 1.1.6. Un attaccante remoto non autenticato in grado di fornire dati Ion appositamente costruiti può provocare una ricorsione sufficientemente profonda da esaurire lo stack nativo delle chiamate e mandare in crash l’applicazione che incorpora la libreria, producendo un denial of service. La correzione inserita nella release 1.1.6 applica un limite predefinito alla profondità della ricorsione: quando viene superato, la libreria restituisce IERR_STACK_OVERFLOW, permettendo all’applicazione di intercettare l’errore invece di terminare. AWS raccomanda di aggiornare anche fork e implementazioni derivate che incorporano il codice vulnerabile. Per chi non può passare immediatamente alla versione corretta, il workaround indicato consiste nell’evitare le API che riscrivono automaticamente il valore letto — ion_writer_write_one_value e ion_writer_write_all_values — sostituendole con una navigazione manuale dell’albero dei valori, iterativa oppure ricorsiva con un limite esplicito. L’advisory segue di pochi giorni altre correzioni AWS distribuite tra SageMaker, componenti cloud e librerie utilizzate nelle applicazioni, mostrando ancora una volta perché le dipendenze embedded debbano essere incluse nell’inventario delle patch e non considerate automaticamente protette dall’infrastruttura cloud.

Continua con:

• CISA inserisce PaperCut nel KEV mentre AWS corregge una RCE critica in OpenSearch
• CISA allerta su ownCloud, Linux e JFrog tra vulnerabilità già sfruttate

La priorità cambia quando la vulnerabilità è già diventata un attacco

I quattro sviluppi non devono essere trattati allo stesso modo. Le sette vulnerabilità inserite da CISA nel KEV, e in particolare CVE-2026-9586 su Switchvox, appartengono alla fascia più urgente perché esistono evidenze di sfruttamento reale: patching, verifica degli indicatori di compromissione e analisi dell’esposizione Internet devono procedere insieme. CVE-2026-19949 su All-in-One WP Migration presenta invece una catena più condizionata, perché il payload depositato dall’attaccante diventa SQL eseguibile quando l’amministratore compie il ciclo di esportazione e importazione; questa dipendenza dall’azione successiva non elimina però il rischio, perché backup, migrazione e restore rappresentano precisamente le funzioni ordinarie del plugin. CVE-2026-84851 in Amazon Ion-C è ancora differente: l’impatto descritto da AWS è un denial of service attraverso esaurimento dello stack e il produttore indica una patch precisa senza riferire attività ostile osservata. La gestione delle vulnerabilità deve quindi evitare due errori opposti: trattare ogni CVE come se rappresentasse la stessa emergenza oppure affidarsi esclusivamente al punteggio CVSS. Nel settembre 2026 il dato operativo decisivo resta la combinazione tra sfruttamento reale, raggiungibilità del servizio, privilegi ottenibili, disponibilità della patch e posizione del componente nella trust chain. Un PBX o un gateway perimetrale già attaccato richiede una risposta diversa da una libreria embedded vulnerabile al DoS, ma entrambi diventano incidenti evitabili quando la correzione disponibile resta fuori dal ciclo di aggiornamento.