CISA mette StyleSmuggler e N-central nel KEV, SAP e cPanel chiudono falle critiche

🛡️ Executive Summary

• CISA inserisce nel KEV StyleSmuggler, due falle Windows e la RCE pre-auth CVE-2026-86218 di N-able N-central.
• SAP corregge OVERPASS CVE-2026-44756, CVSS 10.0, e S4GET CVE-2026-58240, entrambe sfruttabili senza autenticazione.
• cPanel chiude CVE-2026-67401: un account autenticato con privilegi mail può arrivare all’esecuzione di codice come root.

La nuova ondata di vulnerabilità enterprise separa nettamente due categorie di rischio. Da una parte ci sono quattro falle che CISA considera già sfruttate attivamente: StyleSmuggler in Adobe Commerce e Magento, due vulnerabilità Windows e la nuova RCE pre-authentication di N-able N-central. Dall’altra arrivano patch urgenti per SAP e cPanel, dove l’impatto potenziale arriva fino alla compromissione completa del sistema ma, al momento della pubblicazione degli advisory, non risultano exploit confermati in the wild. Il caso più grave sulla carta è OVERPASS, CVE-2026-44756, una memory corruption nel kernel SAP con CVSS 10.0, raggiungibile senza credenziali attraverso più protocolli. La priorità operativa resta però il KEV, perché lì l’exploitation non è più teorica.

CISA porta StyleSmuggler e N-central nel catalogo delle falle sfruttate

Nell’aggiornamento del Known Exploited Vulnerabilities Catalog dell’8 settembre CISA inserisce CVE-2026-75650, CVE-2026-81963, CVE-2026-85880 e CVE-2026-86218, dichiarando per tutte l’esistenza di evidenze di sfruttamento attivo. La prima è StyleSmuggler, la vulnerabilità CVSS 10.0 di Adobe Commerce e Magento Open Source che negli ultimi giorni ha già attraversato l’intero ciclo di una zero-day moderna: scoperta durante attacchi reali, installazione di backdoor Linux, comparsa di una seconda web shell indipendente, rilascio dell’hotfix Adobe e adesso ingresso nel KEV. Adobe conferma nel bollettino APSB26-146 che CVE-2026-75650 consente arbitrary code execution senza autenticazione e che gli attacchi sono reali. La progressione della campagna è già stata ricostruita su Matrice Digitale fino alla patch ufficiale che assegna a StyleSmuggler CVSS 10.0 e priorità 1: l’aggiunta al KEV elimina ormai qualsiasi residua ambiguità sulla necessità di trattare i server esposti come potenzialmente compromessi e non semplicemente come sistemi da aggiornare.

CVE-2026-75650 Adobe Commerce and Magento Improper Neutralization of Special Elements Used in a Template Engine Vulnerability

CVE-2026-81963 Microsoft Windows Link Following Vulnerability  

CVE-2026-85880 Microsoft Windows Heap-Based Buffer Overflow Vulnerability 

CVE-2026-86218 N-able N-central Static Code Injection Vulnerability 

La quarta falla KEV, CVE-2026-86218, riguarda invece N-able N-central, piattaforma centrale nella gestione remota di endpoint e infrastrutture MSP. N-able descrive la vulnerabilità nelle release note di N-central 2026.3 Hotfix 4 come una falla critica capace di consentire remote code execution prima dell’autenticazione sul server N-central. Il fix è contenuto nella build 2026.3.1.14. Il vendor afferma di non avere conferme autonome di exploitation negli ambienti di produzione, ma la classificazione CISA cambia il quadro: un requisito per entrare nel KEV è proprio l’esistenza di evidenze di sfruttamento. N-able raccomanda quindi l’aggiornamento immediato delle installazioni on-premises; le istanze hosted risultano già corrette. La falla arriva inoltre dopo una sequenza di problemi sulla stessa piattaforma, già esaminati con le precedenti vulnerabilità di autenticazione e gli attacchi contro N-central.

Leggi anche: StyleSmuggler evolve su Magento tra chronyd, traffico NTP e una seconda web shell

Due vulnerabilità Windows completano il nuovo KEV

Gli altri due ingressi riguardano Microsoft Windows. CVE-2026-81963 è classificata da CISA come una vulnerabilità di Link Following, mentre CVE-2026-85880 è una Heap-Based Buffer Overflow. L’elemento determinante, indipendentemente dalla diversa natura tecnica, è che entrambe risultano ora associate a sfruttamento attivo secondo l’agenzia statunitense. La nuova BOD 26-04 rafforza inoltre la logica risk-based del catalogo: per gli asset pubblicamente esposti nei quali una CVE KEV consente il controllo completo dopo l’exploitation, le agenzie federali devono accelerare la remediation e verificare, nei casi previsti, se la compromissione sia avvenuta prima dell’applicazione della patch. Per le organizzazioni private il vincolo non è normativo, ma il criterio resta utile: una vulnerabilità sfruttata attivamente deve superare nella coda di patching una falla più grave sulla carta ma ancora puramente teorica. Il caso N-central rende questa differenza particolarmente evidente. La piattaforma possiede privilegi elevati per definizione perché serve a gestire da remoto sistemi di terzi. Una RCE pre-auth su un server di amministrazione non rappresenta quindi soltanto la compromissione di una macchina: può diventare un punto di partenza per muoversi verso gli endpoint amministrati. La cronologia recente è già preoccupante: ad agosto Storm-1175 aveva utilizzato infrastrutture N-central compromesse prima del deployment di StormEncryptor. Il nuovo CVE non va automaticamente collegato a quella campagna, ma il precedente mostra perché gli strumenti RMM siano obiettivi ad altissimo rendimento per gli attaccanti.

SAP corregge OVERPASS: una RCE CVSS 10.0 nel kernel

Fuori dal KEV, il SAP Security Patch Day di settembre introduce un problema tecnicamente ancora più severo. SAP assegna CVSS 10.0 a CVE-2026-44756, vulnerability di memory corruption nel processing di SAP Extended Passport, e pubblica la Security Note 3747649. La pagina ufficiale del Patch Day SAP mostra che sono interessate numerose linee KERNEL, KRNL64, WEBDISP e versioni comprese tra i rami 7.x, 8.x e 9.x. La vulnerabilità, battezzata OVERPASS da Onapsis, deriva da una mancata validazione dei limiti durante la deserializzazione dei dati EPP. Un aggressore può inviare una richiesta costruita ad arte e arrivare all’esecuzione di comandi sul sistema operativo con i privilegi amministrativi SAP. Il particolare più pericoloso è la superficie d’attacco multiprotocollo. Il codice vulnerabile appartiene al kernel condiviso che processa Extended Passport ed è raggiungibile dal livello web, da SAP GUI e dal livello RFC. Secondo l’advisory tecnico di Onapsis, l’attacco non richiede credenziali e può consentire di leggere il secure store SAP, recuperare credenziali del database, password hash e dati di business, accedere alle sessioni degli utenti, recuperare credenziali utilizzabili per il movimento laterale e modificare configurazioni o binari SAP. Onapsis dichiara tuttavia di non avere osservato exploitation in the wild al momento della disclosure. La distinzione rispetto alle quattro CVE del KEV è quindi sostanziale: OVERPASS è estremamente sfruttabile e ad impatto massimo, ma non è ancora una vulnerabilità confermata in attacco attivo.

S4GET colpisce il Message Server senza credenziali

Nello stesso ciclo SAP compare CVE-2026-58240, denominata S4GET, con CVSS 9.8. Non è una memory corruption ma un problema logico di missing authentication nel SAP NetWeaver Message Server. La vulnerabilità interessa le linee kernel 9.16, 9.18, 9.19 e 9.20, utilizzate da SAP S/4HANA, S/4HANA Cloud Private Edition e potenzialmente da altri ambienti ABAP. SAP la corregge attraverso la Security Note 3759472. L’analisi di Onapsis su S4GET spiega che un attaccante in grado di raggiungere la porta pubblica del Message Server può, senza autenticazione, fare trattare un proprio nodo come componente trusted del cluster e utilizzare quindi funzionalità legittime SAP fino alla remote code execution come <sid>adm sugli application server. È un rischio difficile da compensare soltanto con firewall e ACL perché il Message Server gestisce la stessa comunicazione necessaria ai normali client SAP GUI. I patch level corretti indicati da Onapsis sono 9.16 PL 100, 9.18 PL 32, 9.19 PL 17 e 9.20 PL 7: qualsiasi sistema sulle linee interessate sotto tali livelli deve essere considerato vulnerabile. Anche in questo caso il ricercatore non segnala attacchi osservati fino alla disclosure, ma invita a patchare prima le eventuali installazioni esposte a Internet e immediatamente dopo gli ambienti interni raggiungibili dalla LAN.

cPanel CVE-2026-67401 trasforma un account hosting in root

Il terzo fronte arriva da cPanel & WHM. CVE-2026-67401 colpisce la funzione EmailTrack ed è descritta direttamente dal vendor come una vulnerabilità di SQL injection attraverso la quale un account cPanel autenticato con privilegi relativi alla posta può creare file arbitrari sul server. L’advisory cPanel dell’8 settembre indica come conseguenza finale code execution come root, con controllo completo della macchina. Sono interessate tutte le versioni supportate precedenti alle build corrette 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4 e WP2 11.138.1.9. La condizione iniziale riduce il rischio rispetto a una RCE pre-auth come OVERPASS: l’aggressore deve già disporre di un account hosting autenticato dotato dei privilegi necessari sulla posta. In un ambiente shared hosting, però, questa barriera non è sufficiente per rendere la falla secondaria. Un singolo account compromesso, acquistato o legittimamente disponibile a un attaccante può trasformarsi in escalation da tenant a root, rompendo il confine tra l’account hosting e l’intero server. È una categoria che Matrice Digitale ha già incontrato più volte nell’ecosistema, fino agli attacchi attivi che hanno coinvolto cPanel e altre infrastrutture Internet-facing. Il vendor chiede di aggiornare immediatamente e i changelog confermano il rilascio di build di sicurezza mirate l’8 settembre.

Continua con:

• N-central, Metabase, Rovo e LoadMaster: le precedenti vulnerabilità enterprise entrate nel KEV
• CosmicSting e la lunga superficie di attacco di Magento e Adobe Commerce

La priorità è separare exploit reali da severità teorica

Il quadro dell’8 e 9 settembre mostra perché il CVSS da solo non possa definire l’ordine di remediation. OVERPASS vale 10.0 e può consegnare un sistema SAP a un attaccante remoto senza credenziali, ma non risultano per ora exploit osservati da Onapsis. CVE-2026-86218 su N-central e CVE-2026-75650 su Magento hanno invece già superato la soglia dell’exploitation reale e sono finite nel catalogo CISA. cPanel richiede autenticazione, ma può portare comunque da un normale account hosting al root del server. Le due vulnerabilità Windows completano la superficie con ulteriori exploit confermati. Per i team di sicurezza la sequenza operativa è quindi chiara: applicare immediatamente le correzioni alle CVE KEV, verificando anche la possibile compromissione precedente; aggiornare in parallelo i kernel e i componenti SAP interessati da OVERPASS e S4GET; portare cPanel almeno alle build corrette e considerare gli account hosting compromessi come possibile vettore di escalation. Sui negozi Magento già esposti a StyleSmuggler l’hotfix non sostituisce la risposta all’incidente: backdoor, web shell e credenziali eventualmente sottratte rimangono anche dopo la chiusura della vulnerabilità. La differenza tra una patch urgente e un incidente già in corso è precisamente questa: nel secondo caso correggere il codice vulnerabile chiude la porta, ma non espelle chi è già entrato.