SonicWall SMA1000, falla CVSS 10 espone i gateway prima del login

🛡️ Executive Summary

• SonicWall SMA1000 espone una SSRF pre-authentication che consente a un attaccante remoto di raggiungere funzionalità interne senza login.
• AWS corregge un bypass di autorizzazione nel sample Q Business di QnABot e una falla cross-account nei metadati di Athena.
• Cisco Talos segnala vulnerabilità già patchate su Windows, Foxit Reader, Photoshop e macOS con impatti fino alla code execution.

Una vulnerabilità pre-authentication oggi valutata CVSS 10.0 nei gateway SonicWall SMA1000 apre una nuova tornata di patch che coinvolge anche AWS e diversi software endpoint analizzati da Cisco Talos. Il filo comune non è il numero delle CVE, ma il punto in cui cade il controllo: un gateway di accesso remoto raggiungibile senza login, un sample cloud capace di oltrepassare i limiti di autorizzazione, metadati Athena potenzialmente leggibili tra account e file malevoli in grado di arrivare fino all’esecuzione di codice sui client. La priorità operativa non è quindi uniforme: SonicWall richiede l’attenzione più rapida, mentre i due casi AWS hanno perimetri e remediation molto più circoscritti.

SonicWall SMA1000 espone un percorso pre-auth verso funzioni interne

La vulnerabilità più urgente è CVE-2026-102255 nella WorkPlace interface della serie SMA1000. Il record CVE pubblicato dal CNA SonicWall descrive una SSRF pre-authentication causata da un percorso di accesso alternativo non previsto: un attaccante remoto e non autenticato può indurre l’appliance a inviare richieste per suo conto, raggiungere funzionalità interne ed eseguire operazioni non autorizzate. Sono interessati i modelli 6210, 7210 e 8200v con build 12.4.3-03526 e precedenti oppure 12.5.0-02952 e precedenti. Il dato decisivo non è soltanto il punteggio massimo, ma il fatto che il difetto si trovi su un gateway che per funzione costituisce il confine tra accesso remoto e rete aziendale. È una superficie già comparsa più volte nei dossier sulle vulnerabilità critiche in SonicWall e altri apparati perimetrali, dove il rischio cresce proprio quando l’apparato di sicurezza diventa esso stesso punto di ingresso.

Leggi anche: Nvidia, SonicWall e Apache Struts: vulnerabilità critiche e soluzioni

AWS QnABot: il problema è nel sample opzionale Amazon Q Business

Il secondo sviluppo ha un perimetro molto più preciso. Il bollettino AWS 2026-126 documenta CVE-2026-105811 nel sample opzionale Amazon Q Business Lambda hook di QnABot on AWS. L’integrazione non viene distribuita automaticamente: richiede installazione e configurazione manuali e quindi i clienti che non l’hanno mai implementata non sono interessati. Nelle versioni QnABot dalla 7.0.0 alla 7.4.5, un bypass di autorizzazione legato a una chiave controllabile dall’utente può consentire a un utente remoto già autenticato di leggere oggetti Amazon S3 arbitrari presenti nell’account AWS che ospita la soluzione. La correzione è nella versione 7.4.6, ma AWS sottolinea un dettaglio operativo importante: aggiornare soltanto lo stack QnABot non basta. Chi utilizza il sample deve aggiornare e successivamente ridistribuire lo stack del Lambda hook Amazon Q Business; non esiste un workaround alternativo.

Talos chiude falle su Foxit, Windows, Photoshop e macOS

Il roundup originale del Cisco Talos Vulnerability Discovery & Research team riguarda vulnerabilità già corrette dai rispettivi vendor e mostra una superficie molto diversa da quella dei gateway. Le falle più rilevanti sono due problemi in Foxit Reader che permettono esecuzione di codice attraverso PDF appositamente costruiti, inclusa una use-after-free attivabile tramite JavaScript, e vulnerabilità nei driver Windows che coinvolgono NETIO.sys, tcpip.sys e Cloud Files Mini Filter Driver, con impatti che vanno dalla divulgazione di informazioni all’escalation dei privilegi. Talos segnala inoltre una privilege escalation nell’installer di Adobe Photoshop e un’information disclosure in CoreWLAN su macOS. Per le aziende il punto non è inseguire sette CVE separatamente, ma verificare che il normale ciclo di patch endpoint abbia già incorporato gli aggiornamenti, soprattutto sui sistemi Windows e sui reader PDF. Il contesto è quello già visto con il Patch Tuesday di maggio 2026, che ha corretto 120 vulnerabilità Microsoft: il rischio operativo dipende più dall’esposizione del software e dal vettore di ingresso che dal conteggio grezzo delle falle.

Athena esponeva metadati tra account, ma AWS ha corretto lato servizio

Il bollettino AWS 2026-128 riguarda invece CVE-2026-107352 in Amazon Athena engine version 3. Controlli di autorizzazione mancanti nella gestione delle richieste avrebbero potuto consentire a un utente autenticato di leggere metadati limitati relativi alle query di altri account AWS: identificativi dell’account e testo delle istruzioni SQL. AWS precisa che risultati delle query, credenziali e dati conservati in Amazon S3 non erano coinvolti, che non è stato rilevato alcun accesso ai metadati dei clienti e che il problema è stato corretto lato servizio il 1° settembre 2026. Non è quindi richiesta alcuna azione ai clienti. Questo caso va separato nettamente da QnABot: in Athena la remediation è già stata applicata dal provider, mentre nel sample Amazon Q Business la responsabilità di aggiornare e ridistribuire resta sul cliente che ha scelto di implementarlo.

La priorità di patch non coincide con il numero di vulnerabilità

Per una squadra SOC o IT la sequenza può essere ricondotta a quattro decisioni. SonicWall SMA1000 viene prima, perché la falla pre-auth interessa un apparato perimetrale e non richiede credenziali; chi gestisce i modelli coinvolti deve verificare immediatamente la build installata e applicare l’hotfix previsto dal bollettino SNWLID-2026-0017. QnABot diventa prioritario soltanto negli ambienti che hanno realmente distribuito il q-business-lambda-hook, ma in quei casi l’upgrade deve includere il redeploy del sample. Le vulnerabilità Talos richiedono invece il controllo del livello di patch su endpoint Windows, Foxit, Photoshop e macOS, senza indicazioni di exploitation attiva nella ricerca pubblicata. Athena, infine, non richiede interventi. È la stessa logica che distingue una vulnerabilità teorica da un problema effettivamente sfruttabile e che emerge anche nei casi di SonicWall già coinvolti in campagne di sfruttamento reale: CVSS, esposizione, prerequisiti e stato della remediation devono essere letti insieme.

Continua con:

Patch Tuesday, Microsoft chiude 167 falle e due zero-day

Vulnerabilità critiche in plug-in WordPress, SonicWall e KerioControl e Ivanti

Il vero confine di sicurezza resta l’autorizzazione

I quattro sviluppi mostrano perché la gestione delle vulnerabilità non può essere ridotta a una classifica numerica. SonicWall espone il rischio di un confine perimetrale che può essere attraversato prima dell’autenticazione; QnABot dimostra quanto un sample opzionale possa ereditare privilegi eccessivi sull’account cloud; Athena ricorda che anche servizi gestiti devono imporre correttamente l’isolamento tra tenant; Talos riporta il problema sul client, dove documenti e componenti di sistema restano vettori concreti per escalation e code execution. La lezione operativa è quindi più semplice del roundup: patchare prima ciò che è raggiungibile dall’esterno, controllare quali componenti opzionali sono stati realmente distribuiti, distinguere le correzioni service-side da quelle che richiedono azione del cliente e non trattare un CVSS 10 come sinonimo automatico di exploitation in corso. Il rischio nasce dall’incrocio tra vulnerabilità, posizione nell’architettura e capacità dell’attaccante di raggiungerla.