PAN-OS sfruttata, AWS corregge falle in S3 e SageMaker

🛡️ Executive Summary

• CVE-2026-0322 permette a utenti autenticati di eseguire codice root sull’interfaccia di gestione PAN-OS ed è già sfruttata in attacchi.
• CVE-2026-110310 consente un padding downgrade nel client S3 .NET che può portare alla decrittazione degli oggetti cifrati.
• CVE-2026-110248 può scrivere credenziali Git in chiaro nei CloudWatch Logs quando un clone SageMaker fallisce.

Tre vulnerabilità pubblicate nello stesso ciclo mostrano superfici molto diverse ma unite dallo stesso problema: componenti di infrastruttura che diventano punti di accesso ai privilegi, ai dati cifrati o alle credenziali. CISA ha aggiornato il Known Exploited Vulnerabilities Catalog inserendo quattro nuove falle, mentre Palo Alto Networks affronta lo sfruttamento attivo di CVE-2026-0322 su PAN-OS. Parallelamente AWS ha corretto due vulnerabilità importanti: una nell’Amazon S3 Encryption Client per .NET, capace in determinate condizioni di degradare la cifratura RSA fino a renderla attaccabile, e una nel SageMaker Python SDK che può depositare credenziali Git in chiaro dentro CloudWatch Logs. Per gli amministratori non è un unico incidente, ma tre priorità operative differenti da chiudere senza confonderne l’impatto.

PAN-OS CVE-2026-0322 è già sfruttata contro le interfacce di gestione

La vulnerabilità più urgente è CVE-2026-0322, classificata con severità 8.6 e già osservata in un numero limitato di attacchi. La falla interessa l’interfaccia di gestione PAN-OS e permette a un aggressore già autenticato e dotato di accesso di rete alla management interface di eseguire codice con privilegi root. Secondo la ricostruzione della società, risultano coinvolti firewall PA-Series e VM-Series, oltre alle appliance Panorama virtuali e M-Series, mentre Cloud NGFW e Prisma Access non sono interessati. Palo Alto Networks ha corretto le versioni supportate delle linee 10.2, 11.1, 11.2, 12.1 e 12.2; per PAN-OS 11.2.16 il fix era previsto il 15 ottobre. Non esiste un workaround completo e le firme Threat Prevention offrono soltanto copertura limitata, quindi la misura prioritaria resta l’aggiornamento e la restrizione dell’interfaccia di gestione agli indirizzi interni realmente necessari. Il nuovo caso arriva dopo una sequenza già critica: a luglio Qilin sfruttava CVE-2026-0257 su PAN-OS per trasformare GlobalProtect nel punto d’ingresso verso reti aziendali, dimostrando quanto le appliance perimetrali siano ormai bersagli sistematici e non semplici dispositivi da patchare durante la normale manutenzione.

• CVE-2026-0322 Palo Alto Networks PAN-OS Code Injection Vulnerability 
• CVE-2026-76519 Cisco Secure Email Gateway Relative Path Traversal Vulnerability
• CVE-2026-105133 Ahsay AhsayCBS Improper Authentication Vulnerability 
• CVE-2026-105134 Ahsay AhsayCBS Command Injection Vulnerability 

CISA ha aggiunto quattro nuove vulnerabilità sfruttate al catalogo KEV il 14 ottobre e CVE-2026-0322 rientra tra le vulnerabilità che richiedono un’accelerazione della remediation. Per le agenzie federali civili statunitensi, la scadenza indicata per la falla PAN-OS è il 17 ottobre. Il significato operativo è più importante del numero CVSS: l’exploit non è più teorico. Anche se richiede credenziali e raggiungibilità della management interface, chi dispone già di un accesso iniziale può trasformare un account compromesso nella capacità di eseguire codice root direttamente sul dispositivo che governa il perimetro.

Leggi anche: CISA inserisce CVE-2026-0257 nel KEV mentre GlobalProtect e WP Maps Pro compromettono 15.000 siti

S3 Encryption Client può degradare RSA fino al padding oracle

La seconda vulnerabilità cambia completamente superficie. CVE-2026-110310 riguarda l’Amazon S3 Encryption Client per .NET e non compromette direttamente il servizio S3, ma il componente utilizzato dalle applicazioni per cifrare e decifrare gli oggetti. Nel bollettino AWS 2026-135 Amazon spiega che un soggetto capace di leggere oggetti cifrati nel bucket può alterare nei metadata lo schema di padding e forzare il passaggio al legacy RSA PKCS#1 v1.5. Questa modalità è vulnerabile agli attacchi di tipo Bleichenbacher: utilizzando il comportamento dell’applicazione come padding oracle, l’aggressore può tentare di recuperare la chiave envelope protetta con RSA e arrivare alla decrittazione dell’oggetto. È un problema importante perché non richiede di spezzare matematicamente RSA: sfrutta una regressione verso un meccanismo legacy resa possibile dalla fiducia riposta nei metadata dell’oggetto. Le versioni interessate comprendono la linea 2.x dalla 2.1.0, le release da 3.0.0 a 3.2.1 e quelle da 4.0.0 a 4.0.2. AWS ha corretto il problema in 3.2.2 e 4.0.3; le linee 1.x e 2.x non riceveranno patch e devono essere migrate. Non sono disponibili workaround. È la stessa lezione già emersa con le precedenti vulnerabilità AWS che coinvolgevano TLS, QUIC e componenti dello stack applicativo: il confine di sicurezza del cloud comprende anche librerie incorporate nel codice dei clienti.

SageMaker può trasformare un errore Git in una perdita di credenziali

CVE-2026-110248 riguarda invece il componente git_utils.py dell’Amazon SageMaker Python SDK. Nel bollettino AWS 2026-134 viene descritto un comportamento particolarmente insidioso: quando un’operazione git clone fallisce, le credenziali presenti nell’URL del repository possono finire nell’output di errore del subprocess e venire successivamente scritte nei CloudWatch Logs senza redazione. Un utente remoto autenticato che abbia accesso a quei log può quindi recuperare le credenziali in chiaro. Le versioni vulnerabili sono tutte quelle della linea SageMaker Python SDK V2 precedenti alla 2.257.3 e della V3 precedenti alla 3.10.0. AWS raccomanda l’upgrade immediato; quando non è possibile, bisogna evitare credenziali dentro gli URL Git, limitare l’accesso ai CloudWatch Logs, esaminare i log generati da clone falliti e ruotare i segreti eventualmente presenti. Il difetto acquista particolare importanza perché CloudWatch sta raccogliendo quantità crescenti di telemetria e log applicativi negli ambienti AWS: maggiore osservabilità significa anche maggiore concentrazione di informazioni sensibili se la redazione dei segreti fallisce.

Continua con:

CISA e catalogo KEV: guida alla cyber-intelligence operativa

AWS corregge OpenSearch e rafforza API Gateway con mTLS verso i backend

Firewall, cifratura e log mostrano tre diversi punti di rottura della fiducia

Le tre vulnerabilità non devono essere appiattite dentro un generico “allarme cyber”. PAN-OS è già sotto attacco e richiede priorità immediata, soprattutto dove la management interface è raggiungibile da segmenti troppo ampi o viene amministrata attraverso account riutilizzati. S3 Encryption Client espone invece un errore crittografico applicativo: chi può manipolare metadata di oggetti cifrati non dovrebbe poter determinare unilateralmente un downgrade verso un padding insicuro. SageMaker dimostra infine che anche un semplice errore operativo può trasformare l’osservabilità in un canale di esfiltrazione involontaria delle credenziali. Per i team di sicurezza la sequenza è quindi netta: verificare ed aggiornare PAN-OS, migrare immediatamente i client S3 non correggibili, aggiornare SageMaker SDK e controllare retroattivamente i log. La superficie comune non è il vendor, ma la fiducia concessa a componenti che governano infrastruttura, crittografia e segreti: quando uno di questi livelli fallisce, l’attaccante non deve necessariamente compromettere l’intero cloud per ottenere un vantaggio significativo.