MikroTik entra nel KEV, AWS corregge falle tra agenti AI, DJL e SSM

🛡️ Executive Summary

• CISA inserisce CVE-2026-67277 e CVE-2026-86060 di MikroTik RouterOS nel KEV dopo la conferma dello sfruttamento attivo.
• AWS Security Agent presenta due falle nella verifica della proprietà dei bucket S3 che possono esporre sorgenti, credenziali e stato infrastrutturale.
• Deep Java Library richiede la 0.37.0, mentre SSM Agent 3.3.4851.0 corregge una SSRF capace di raggiungere credenziali IAM temporanee.

CISA e AWS concentrano una nuova tornata di vulnerabilità che attraversa router, agenti AI, framework di deep learning e strumenti di amministrazione cloud. L’urgenza maggiore riguarda MikroTik RouterOS: CISA ha inserito CVE-2026-67277 e CVE-2026-86060 nel catalogo Known Exploited Vulnerabilities dopo evidenze di sfruttamento reale. AWS pubblica invece tre advisory distinti, senza dichiarare exploitation attiva: due falle permettono di intercettare gli archivi sorgente elaborati da AWS Security Agent, un integer overflow in Deep Java Library può provocare letture fuori buffer e una SSRF in Systems Manager Agent può consentire a un utente autorizzato al port forwarding di raggiungere le credenziali IAM temporanee dell’istanza.

CISA porta MikroTrick nel KEV dopo gli attacchi reali

CISA ha aggiunto il 10 settembre due vulnerabilità di RouterOS al Known Exploited Vulnerabilities Catalog: CVE-2026-67277, classificata come missing authentication for critical function, e CVE-2026-86060, legata alla neutralizzazione impropria degli argomenti di un comando. L’inserimento nel KEV certifica la disponibilità di evidenze di sfruttamento reale, non semplicemente l’esistenza di un proof of concept. Le due CVE fanno parte del gruppo di vulnerabilità battezzato MikroTrick, già osservato contro router esposti: CVE-2026-86060 può essere utilizzata nella catena SSH per modificare l’identità della sessione e raggiungere privilegi amministrativi, mentre CVE-2026-67277 interessa il servizio bandwidth-test e può esporre memoria oppure causare instabilità del dispositivo. Matrice Digitale aveva già ricostruito gli attacchi MikroTrick e la catena di compromissione RouterOS, compresa la vulnerabilità CVE-2026-67276 utilizzabile per aggirare la verifica delle chiavi SSH.

• CVE-2026-67277 MikroTik RouterOS Missing Authentication for Critical Function Vulnerability
• CVE-2026-86060 MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability

MikroTik chiede di aggiornare e controllare se il router è già compromesso

L’advisory ufficiale MikroTik indica come corrette RouterOS 7.24.2, 7.23.4, 7.25 beta 3 e 6.49.21 e raccomanda di non esporre SSH verso reti non fidate, preferendo una VPN come WireGuard per l’amministrazione remota. Il produttore ha introdotto anche un controllo che può contrassegnare il dispositivo come Flagged quando riconosce indicatori associati alla compromissione, ma l’assenza del flag non dimostra che il router sia integro. Dopo l’aggiornamento devono quindi essere controllati utenti sconosciuti, script, scheduler e modifiche alla configurazione. È una distinzione particolarmente importante ora che le CVE sono nel KEV: la patch chiude il vettore conosciuto, ma non elimina automaticamente account o persistenze creati prima dell’aggiornamento.

Leggi anche: TeamCity sfruttato e falle negli agenti AWS, Google e Vercel mostrano il rischio dei tool autonomi

AWS Security Agent può consegnare sorgenti e credenziali al bucket sbagliato

Il bollettino 2026-105-AWS riguarda CVE-2026-87912 e CVE-2026-87913. Entrambe derivano dalla mancata verifica della proprietà del bucket S3 utilizzato da AWS Security Agent durante le scansioni. Il plugin aws-agents-for-devsecops precedente alla versione 1.1.0 e il Security Agent MCP Server precedente alla 0.2.0 costruiscono il nome del bucket attraverso informazioni prevedibili, compreso l’account identifier. Un attaccante che registri preventivamente quel nome potrebbe quindi ricevere l’archivio privato del workspace inviato alla scansione. AWS precisa che l’archivio può contenere codice sorgente, credenziali e stato dell’infrastruttura. AWS raccomanda l’aggiornamento dei componenti interessati, ma segnala anche un dettaglio operativo decisivo: aggiornare il software non libera un nome di bucket già registrato da un altro account. Gli amministratori devono quindi verificare che security-agent-scans-<account-id>-<region> appartenga realmente al proprio account e possono pre-crearlo prima del primo utilizzo. Il caso si inserisce nella superficie crescente dei server MCP e degli agenti AI AWS, già interessata da vulnerabilità capaci di superare modalità read-only e trasformare permessi applicativi in operazioni non previste.

Deep Java Library legge oltre il buffer con tensor costruiti ad hoc

Con CVE-2026-85228, descritta nel bollettino 2026-106-AWS, il problema si sposta nel framework open source Deep Java Library. Le versioni da 0.13.0 a 0.36.0 soffrono di un integer overflow durante la validazione delle dimensioni dei tensor. Un payload può dichiarare una shape la cui dimensione in byte supera il limite dell’intero signed a 32 bit; il calcolo va in wraparound, consentendo a un buffer più piccolo del necessario di superare la validazione. Una successiva operazione sul tensor può quindi leggere memoria adiacente o terminare il processo causando denial of service. La correzione è disponibile in DJL 0.37.0 e AWS chiarisce che non esiste un workaround completo alternativo all’upgrade. Fino all’aggiornamento, l’indicazione è accettare tensor soltanto da sorgenti fidate e non esporre a chiamanti non affidabili endpoint di inferenza raw-tensor in modalità binaria basati sui motori Java nativi. AWS non segnala exploitation attiva: il livello di priorità è quindi differente dal caso MikroTik, ma diventa elevato quando DJL riceve direttamente input controllabili da Internet.

SSM Agent permette di aggirare la denylist del port forwarding

Il terzo advisory, 2026-107-AWS, interessa AWS Systems Manager Agent e la funzione Session Manager che consente di inoltrare porte verso host remoti. CVE-2026-89049 è una server-side request forgery causata dalla validazione incompleta delle rappresentazioni equivalenti degli indirizzi. Un utente già autenticato e autorizzato ad avviare sessioni di remote-host port forwarding può aggirare la denylist delle destinazioni e raggiungere endpoint link-local. Tra gli obiettivi possibili rientra l’Instance Metadata Service, dal quale possono essere ottenute le credenziali temporanee del ruolo IAM associato alla macchina; tali credenziali possono successivamente essere utilizzate dall’esterno con i privilegi attribuiti al ruolo. AWS corregge la vulnerabilità in SSM Agent 3.3.4851.0. Per gli ambienti che non possono aggiornare immediatamente viene consigliato di restringere ssm:StartSession e i permessi relativi al documento AWS-StartPortForwardingSessionToRemoteHost, impedendo ai principal non fidati di aprire quel tipo di sessione. La vulnerabilità arriva poche settimane dopo CVE-2026-81849 nello stesso SSM Agent, dove una path traversal attraverso AWS-DownloadContent poteva portare alla scrittura di file con privilegi root.

Continua con:

• CISA mette PaperCut nel KEV e AWS corregge una RCE critica in OpenSearch
• CISA, AWS, MLflow e Copilot: exploit, denial of service e furto dati nel cloud

Il rischio cambia tra exploitation reale e vulnerabilità cloud privilegiate

Le quattro comunicazioni non devono essere trattate con la stessa priorità. MikroTik RouterOS è già sotto attacco e l’ingresso nel KEV richiede non soltanto patching rapido ma anche una verifica retrospettiva della compromissione. Nei tre advisory AWS, invece, le fonti primarie non dichiarano exploitation attiva; il rischio dipende dalla presenza delle versioni vulnerabili e dalla possibilità per un attaccante di raggiungere gli input o disporre dei privilegi iniziali richiesti. Ciò non rende secondari i problemi AWS. Il Security Agent può maneggiare interi workspace con sorgenti e segreti, DJL può processare tensor controllati da sistemi di inferenza esposti e SSM Agent opera direttamente su macchine alle quali sono associati ruoli IAM. In tutti e tre i casi una debolezza in un componente apparentemente ausiliario può trasformarsi nell’accesso a dati o identità molto più privilegiate. La priorità operativa diventa quindi duplice: incident response sui MikroTik esposti prima della patch e aggiornamento preventivo immediato dei componenti AWS, prima che vulnerabilità appena pubblicate passino dalla disclosure alla weaponization.