AWS Strands Agents, falla può esporre le conversazioni tra tenant

🛡️ Executive Summary

• AWS Strands Agents espone il rischio di accesso alle conversazioni di altri tenant attraverso CVE-2026-115419, vulnerabilità nei server Agent2Agent che può anche alterare il comportamento dei modelli AI.
• AWS SAM CLI consente una possibile command injection attraverso Terraform, mentre due vulnerabilità PHP2Shell espongono le applicazioni web a esecuzione remota di codice senza autenticazione.
• Amazon Athena è stato corretto direttamente da AWS, mentre gli sviluppatori devono aggiornare aws-c-mqtt alla versione 0.16.2 per impedire attacchi denial-of-service ai client IoT.

Amazon Web Services ha pubblicato cinque bollettini di sicurezza tra il 21 e il 22 ottobre 2026 che interessano agenti AI, pipeline di sviluppo serverless, runtime PHP, servizi analitici e librerie IoT. La vulnerabilità più significativa per l’evoluzione delle infrastrutture agentiche riguarda Strands Agents SDK, dove un errore nell’isolamento delle sessioni può consentire a un utente autenticato di accedere alle conversazioni di altri utenti e influenzare il comportamento degli agenti. Gli altri avvisi descrivono una OS command injection in SAM CLI, due RCE critiche in PHP, un problema di autorizzazione già corretto in Amazon Athena e una possibile interruzione dei client MQTT. Il punto centrale è distinguere le vulnerabilità corrette direttamente dal fornitore cloud da quelle che richiedono interventi sugli ambienti amministrati dai clienti.

Strands Agents perde l’isolamento tra utenti nei server Agent2Agent

La vulnerabilità CVE-2026-115419 interessa il componente Agent2Agent (A2A) Server di Strands Agents SDK, framework open source distribuito da AWS per realizzare applicazioni basate su agenti di intelligenza artificiale. Il problema riguarda l’isolamento dello stato delle conversazioni tra utenti differenti: un soggetto remoto già autenticato può, nelle configurazioni multi-tenant vulnerabili, raggiungere la cronologia appartenente a un altro utente o introdurre istruzioni capaci di influenzare il comportamento del modello nelle interazioni successive. Il Security Bulletin AWS 2026-146 identifica le versioni Python contenenti il modulo multiagent.a2a precedenti alla 1.43.0 e quelle TypeScript del pacchetto @strands-agents/sdk precedenti alla 1.5.0. La correzione introduce l’isolamento dello stato per ciascun context_id A2A, eliminando la condivisione impropria dei dati tra sessioni. Il difetto è classificato CWE-488 e raggiunge un punteggio CVSS 3.1 di 8,1, con un impatto elevato su riservatezza e integrità, ma senza un impatto diretto dichiarato sulla disponibilità. AWS precisa che non esiste una mitigazione alternativa completamente efficace: in attesa dell’aggiornamento, un server A2A vulnerabile non deve essere esposto contemporaneamente a utenti o tenant differenti. La soluzione provvisoria consiste nell’utilizzare istanze separate per ciascun utente o tenant, evitando di condividere lo stesso processo agentico.

Il caso assume maggiore rilevanza perché non rappresenta la prima vulnerabilità di isolamento emersa nell’ecosistema Strands. Ad agosto AWS aveva già corretto un problema nei tool di memoria degli agenti che permetteva di accedere alle informazioni conservate da altri tenant attraverso namespace controllabili. La nuova vulnerabilità riguarda invece direttamente il livello di comunicazione A2A e dimostra che proteggere gli archivi di memoria non basta quando il server che gestisce le conversazioni non separa correttamente gli stati delle sessioni. Il rischio non coincide con una compromissione del modello di base, ma con la possibilità che un’applicazione costruita attorno al modello esponga informazioni e istruzioni appartenenti a contesti differenti.

Leggi anche: CISA inserisce quattro falle Plex nel KEV e AWS corregge due problemi di accesso

AWS SAM CLI permette l’esecuzione di comandi attraverso Terraform non attendibile

Una seconda vulnerabilità interessa AWS SAM CLI, strumento utilizzato per creare, compilare e distribuire applicazioni serverless. CVE-2026-115414 riguarda una OS command injection nel Terraform hook invocato attraverso sam build --hook-name terraform. Il difetto nasce dalla generazione di una ricetta Makefile che incorpora l’indirizzo di una risorsa Terraform senza neutralizzare completamente i metacaratteri della shell. Un attaccante capace di influenzare la configurazione Terraform oppure il file di piano utilizzato durante la compilazione può così provocare l’esecuzione di comandi arbitrari con i privilegi dell’utente che esegue la build. Il Security Bulletin AWS 2026-145 identifica come vulnerabili le versioni dalla 1.63.0 alla 1.166.1 e indica la 1.166.2 come prima release corretta. Lo sfruttamento non equivale a una RCE anonima raggiungibile da Internet: richiede il controllo di un input Terraform effettivamente utilizzato dalla pipeline vulnerabile. Proprio questo prerequisito rende particolarmente importante la sicurezza dei repository condivisi, dei moduli Terraform distribuiti da terzi e dei workflow CI/CD che compilano codice proveniente da collaboratori esterni. AWS raccomanda di accettare soltanto configurazioni e file di piano attendibili, verificare le dipendenze e correggere eventuali fork del progetto che incorporano il codice vulnerabile. La patch resta l’intervento definitivo, perché un processo di build con credenziali cloud e privilegi elevati può trasformare una configurazione malevola in un accesso alle risorse disponibili nell’ambiente di sviluppo.

PHP2Shell raggiunge gli ambienti AWS ma la patch resta una responsabilità applicativa

Il bollettino 2026-143-AWS riguarda CVE-2026-109618 e CVE-2026-109619, le due vulnerabilità PHP2Shell che consentono, in determinate condizioni, esecuzione remota di codice senza autenticazione. Entrambe hanno un punteggio CVSS 4.0 di 9,2 e interessano la gestione della memoria all’interno del runtime PHP. Il bollettino AWS dedicato ai runtime PHP precisa che i servizi AWS non risultano direttamente vulnerabili, ma le applicazioni dei clienti possono esserlo quando utilizzano versioni non corrette dell’interprete. Le release di sicurezza sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. AWS ha distribuito il 21 ottobre Elastic Beanstalk PHP Platform 4.13.12 e previsto un successivo aggiornamento della piattaforma con le correzioni upstream, mentre gli ambienti con Managed Platform Updates abilitate ricevono gli aggiornamenti nelle finestre di manutenzione. Per Amazon Linux è prevista la distribuzione dei pacchetti corretti e per Lightsail occorre prestare particolare attenzione: AWS non può sostituire automaticamente il runtime delle istanze già operative e raccomanda di creare nuove istanze con blueprint aggiornati e migrare le applicazioni. Per Amazon WorkMail sono state applicate protezioni di configurazione e non è richiesta un’azione da parte degli utenti. I dettagli tecnici di PHP2Shell e le versioni corrette del runtime chiariscono che aggiornare WordPress o un altro CMS non equivale a correggere PHP. AWS propone inoltre misure temporanee attraverso AWS WAF, tra cui SizeRestrictions_BODY per CVE-2026-109618 e una regola dedicata alle richieste POST che utilizzano PHP_SESSION_UPLOAD_PROGRESS e PHPSESSID per CVE-2026-109619. Queste protezioni non sostituiscono l’aggiornamento del runtime, soprattutto negli ambienti legacy PHP 5.4–8.1, per i quali non sono disponibili normali release upstream corrette.

Amazon Athena esponeva metadati tra account ma non i risultati delle query

La vulnerabilità CVE-2026-115416 interessa Amazon Athena engine version 3 e riguarda controlli di autorizzazione insufficienti durante l’elaborazione delle query. Il Security Bulletin AWS 2026-144 spiega che un utente autenticato avrebbe potuto leggere identificativi di account AWS e testo delle istruzioni SQL appartenenti ai metadati delle query di altri account. La comunicazione delimita espressamente il perimetro: non erano accessibili i risultati delle interrogazioni né i dati conservati in Amazon S3 o in altre sorgenti. AWS dichiara di avere corretto il problema direttamente sul servizio il 7 ottobre 2026, senza richiedere interventi ai clienti. Il nuovo advisory presenta caratteristiche simili alla precedente vulnerabilità di Athena CVE-2026-107352, già corretta lato servizio, ma riguarda un identificativo differente e una remediation successiva: non esistono elementi sufficienti per considerare automaticamente le due segnalazioni un unico difetto. La distinzione è importante anche per la valutazione del rischio, perché l’accesso a metadati SQL può rivelare informazioni sull’organizzazione delle interrogazioni senza dimostrare una lettura dei dataset sottostanti.

MQTT 3.1.1 espone i client IoT a denial-of-service attraverso allocazioni eccessive

Il quinto bollettino riguarda CVE-2026-115417, vulnerabilità della libreria aws-c-mqtt distribuita attraverso AWS Common Runtime e incorporata anche in AWS IoT Device SDK for C++ v2. Il difetto interessa l’adattatore di compatibilità MQTT 3.1.1 e consiste in un’allocazione di memoria basata su dimensioni eccessive, classificata come CWE-789. In determinate condizioni, un attaccante remoto può provocare un denial-of-service del processo client. Il Security Bulletin AWS 2026-147 indica come vulnerabili le versioni dalla 0.9.1 fino alle precedenti alla 0.16.2, raccomandando l’aggiornamento almeno alla 0.16.2. Le mitigazioni temporanee consistono nel collegare i client soltanto a broker MQTT attendibili, utilizzare TLS per impedire manipolazioni delle risposte lungo il percorso di rete ed evitare, quando possibile, l’adattatore vulnerabile a favore di un client nativo MQTT5 o MQTT 3.1.1. AWS cita espressamente IoT Core come esempio di broker che applica il limite massimo negoziato per i pacchetti. Il problema riguarda quindi il processo client che utilizza la libreria, non una vulnerabilità generalizzata del servizio IoT Core. La nuova falla è inoltre distinta dal precedente errore TLS nell’AWS IoT Device SDK for Python, dove il rischio consisteva nella mancata verifica dell’identità dell’endpoint e nella possibilità di intercettare o iniettare messaggi MQTT.

Continua con:

Zimbra, isolated-vm, OpenSearch, FreeRTOS e Athena: le vulnerabilità che minacciano i servizi enterprise

I cinque bollettini AWS mostrano dove termina la sicurezza gestita dal cloud

La pubblicazione dei cinque advisory evidenzia responsabilità operative profondamente differenti. Amazon Athena non richiede interventi perché il problema è stato corretto direttamente da AWS, mentre Strands Agents, SAM CLI e aws-c-mqtt sono componenti software che i clienti possono incorporare nelle proprie applicazioni, rendendo necessario controllarne versioni, dipendenze e configurazioni effettive. PHP aggiunge un ulteriore livello di complessità: l’infrastruttura può essere ospitata presso AWS senza che il fornitore sia responsabile dell’aggiornamento di ogni runtime installato dai clienti. Per aziende, sviluppatori e pubbliche amministrazioni italiane, la risposta deve quindi partire dall’inventario degli SDK agentici A2A, delle pipeline Terraform, dei runtime PHP e delle librerie MQTT realmente distribuite, distinguendo i prodotti gestiti da quelli amministrati autonomamente. Non risultano dai cinque bollettini conferme di campagne di sfruttamento attivo delle nuove vulnerabilità specifiche, ma l’assenza di tale evidenza non riduce il valore delle correzioni. Strands mostra come l’isolamento delle conversazioni rappresenti una proprietà di sicurezza indispensabile per gli agenti multi-tenant; SAM CLI ricorda che la fiducia nei file infrastrutturali incide direttamente sui privilegi delle pipeline; MQTT dimostra che anche una libreria client può diventare il punto di interruzione di un servizio IoT. La conseguenza più rilevante è che la sicurezza cloud non coincide con la sola protezione della piattaforma AWS: dipende anche dal codice che le organizzazioni eseguono, dagli strumenti utilizzati per distribuirlo e dai confini di autorizzazione mantenuti durante ogni interazione.