SonicWall, X.Org e OpenOffice: falle critiche tra SSRF e code execution

🛡️ Executive Summary

• SonicWall corregge una SSRF pre-auth da massima severità negli SMA1000, senza evidenze attuali di exploitation in-the-wild.
• X.Org e Xwayland chiudono numerosi bug di memoria sfruttabili da client X autenticati, alcuni con potenziale code execution.
• LibreOffice è già corretto contro una RCE legata a JDBC, mentre OpenOffice resta vulnerabile fino alla 4.1.16 e indica la disattivazione di Java come mitigazione.

SonicWall SMA1000, X.Org/Xwayland e le suite LibreOffice e OpenOffice hanno ricevuto aggiornamenti o mitigazioni per vulnerabilità che attraversano tre livelli diversi della superficie d’attacco: il gateway remoto, il server grafico e il documento aperto dall’utente. Il tratto comune non è la presenza di un’unica campagna di attacco, ma la capacità di input apparentemente legittimi di oltrepassare confini di fiducia molto diversi. Nel caso SonicWall la criticità massima riguarda una SSRF pre-auth; in X.Org diversi bug di memoria possono arrivare alla code execution da un client autenticato; nelle suite Office il vettore passa dall’integrazione Java. Nessuno dei tre sviluppi va però trasformato automaticamente in exploitation attiva.

SonicWall SMA1000: una SSRF pre-auth colpisce il perimetro remoto

La vulnerabilità più urgente del cluster è CVE-2026-102255, una server-side request forgery nell’interfaccia Appliance WorkPlace dei gateway SonicWall SMA1000 6210, 7210 e 8200v. L’advisory SonicWall SNWLID-2026-0017, spiega che l’errore deriva da un percorso di accesso alternativo non previsto e può essere sfruttato da remoto senza autenticazione per indurre l’appliance a effettuare richieste verso funzionalità interne ed eseguire operazioni non autorizzate. Il punteggio massimo riflette soprattutto la combinazione tra assenza di privilegi richiesti e collocazione del dispositivo sul perimetro, ma SonicWall non ha indicato evidenze di exploitation in-the-wild per questa specifica CVE. La società ha distribuito hotfix e raccomanda l’aggiornamento immediato degli apparati interessati. Il contesto resta comunque sensibile perché la stessa famiglia SMA1000 è stata già colpita nel 2026 da vulnerabilità sfruttate come zero-day: un precedente che rende prioritario ridurre la finestra di esposizione anche senza attacchi confermati.

Leggi anche: Fortinet: 150.000 dispositivi a rischio CVE-2024-21762

X.Org e Xwayland correggono una catena di errori di memoria

Sul desktop Linux il problema cambia completamente natura. L’advisory X.Org pubblicato il 7 ottobre corregge molteplici vulnerabilità in xorg-server 21.1.25 e Xwayland 24.1.14, con bug che includono double free, use-after-free, heap buffer overflow, out-of-bounds write e information disclosure. Il requisito operativo è importante: gli attacchi descritti richiedono un client X autenticato, quindi non equivalgono a una RCE remota pre-auth come nel caso SonicWall. Alcune CVE permettono però a un processo già in grado di comunicare con il server X di corrompere memoria e potenzialmente eseguire codice nel contesto del server. Tra i casi più significativi figurano il buffer overflow in GLX RenderLarge, dove la dimensione dei dati copiati può superare quella allocata, e la truncation in XkbResizeKeyType, capace di produrre un’allocazione insufficiente seguita da scritture oltre il buffer. La correzione va quindi letta soprattutto come riduzione del rischio di compromissione locale e attraversamento dei confini di privilegio, non come prova dell’esistenza di una campagna attiva.

LibreOffice e OpenOffice: il documento può trasformarsi in esecuzione Java

Il terzo fronte riguarda i documenti. La documentazione di sicurezza di LibreOffice descrive CVE-2026-63277, corretta nelle versioni 26.2.5 e 26.8.0: un foglio Calc poteva definire una sorgente dati esterna e indicare un driver JDBC Java da caricare da una posizione remota, con la conseguenza che l’apertura del documento poteva portare all’esecuzione del codice Java proveniente da quella posizione. La correzione limita le entry del Java class path ai file URL. Apache OpenOffice espone un problema parallelo, CVE-2026-59265, che interessa tutte le versioni fino alla 4.1.16 e consente a un documento appositamente costruito di sfruttare l’integrazione Java per eseguire codice arbitrario, anche remoto. Il bollettino ufficiale di Apache OpenOffice indica la 4.1.17 ancora in fase release candidate e raccomanda nel frattempo di disabilitare il Java Runtime Environment oppure evitare file non fidati. Qui il confine violato non è il gateway di rete né il server grafico, ma la fiducia concessa a un documento aperto dall’utente.

Tre vulnerabilità diverse mostrano lo stesso problema di fiducia

I tre sviluppi non devono essere compressi nella formula generica “falle critiche”, perché prerequisiti e conseguenze cambiano radicalmente. SonicWall espone un servizio perimetrale raggiungibile da remoto e senza autenticazione; X.Org richiede già la presenza di un client autenticato capace di interagire con il server grafico; LibreOffice e OpenOffice dipendono invece dall’apertura di un documento malevolo e dall’integrazione Java. La matrice comune è però evidente: il controllo iniziale dell’attaccante è piccolo rispetto al dominio che può essere raggiunto dopo il superamento della trust boundary. Nel gateway una richiesta costruita può raggiungere funzionalità interne, nel server grafico un messaggio formalmente accettabile ma manipolato può corrompere memoria, nel documento una sorgente dati può trasformarsi in caricamento di codice. È questa asimmetria a rendere gli aggiornamenti prioritari anche quando non esiste ancora una campagna di exploitation confermata.

Continua con:

Allerta infrastrutture critiche: la CISA conferma attacchi globali ai router Cisco SD-WAN

Zero-Day PAN-OS di Palo Alto Networks: rischio e cosa fare

La priorità è patchare senza trasformare ogni CVE in una zero-day

Per gli amministratori la risposta deve seguire il livello di esposizione reale. Sugli SMA1000 interessati la priorità è applicare gli hotfix perché l’attacco non richiede autenticazione e il dispositivo protegge accessi remoti alla rete. Sui sistemi Linux occorre aggiornare xorg-server e Xwayland alle versioni corrette distribuite dai repository, soprattutto su workstation multiutente o ambienti nei quali processi non pienamente fidati possono accedere al display server. Su LibreOffice l’aggiornamento porta almeno alla 26.2.5 o alla 26.8.0; su OpenOffice, finché la 4.1.17 non sarà stabile, la mitigazione esplicita è disabilitare Java quando non indispensabile. Il dato operativo più importante resta infine negativo ma decisivo: non c’è prova, nelle fonti esaminate, che queste nuove vulnerabilità siano già sfruttate attivamente. Patch urgente significa ridurre una superficie d’attacco concreta, non inventare una zero-day dove oggi esiste una vulnerabilità corretta o mitigabile.