Kernel Linux, falla TCP CVSS 9,8: exploit root e patch ancora assenti

🛡️ Executive Summary

• Linux espone una vulnerabilità TCP CVSS 9,8: CVE-2026-98432 è una use-after-free IPv4 per la quale Anthropic ha dimostrato un exploit remoto capace di ottenere privilegi root in presenza di specifiche condizioni MPTCP.
• CISA conferma due vulnerabilità già sfruttate: CVE-2026-97229 in GitLab e CVE-2026-76418 nei firewall Cisco ASA/FTD entrano nel catalogo KEV, imponendo una nuova priorità di remediation.
• AWS corregge due problemi di autorizzazione e integrità: CVE-2026-119115 interessa i certificati Kubernetes, mentre CVE-2026-118029 riguarda i risultati delle query Athena tramite awswrangler.

Una vulnerabilità del kernel Linux valutata CVSS 9,8 riporta al centro il rischio di compromissione remota dei server, mentre CISA conferma lo sfruttamento attivo di due falle già corrette in GitLab e Cisco Secure Firewall. Il quadro della sicurezza infrastrutturale si completa con due bollettini AWS che interessano l’emissione dei certificati nei cluster Kubernetes e l’integrità delle interrogazioni Amazon Athena. Le comunicazioni del 28 e 29 ottobre 2026 delineano rischi differenti, che richiedono di distinguere le vulnerabilità effettivamente sfruttate dagli aggressori, gli exploit dimostrati in laboratorio e i problemi corretti preventivamente dai fornitori. Una distinzione particolarmente importante per gli amministratori italiani che devono pianificare aggiornamenti su server Linux, firewall perimetrali, piattaforme CI/CD e ambienti cloud senza compromettere la continuità dei servizi.

Linux CVE-2026-98432: una race condition TCP apre alla compromissione root

La vulnerabilità CVE-2026-98432 interessa il codice TCP del kernel Linux ed è stata classificata dal team CVE del progetto con un punteggio CVSS 9,8. Il problema nasce da una race condition durante il completamento dell’handshake TCP IPv4. Il kernel trasferisce al nuovo socket le opzioni IP associate alla richiesta di connessione senza copiarle; se il socket viene distrutto mentre un’altra CPU sta ancora utilizzando quelle informazioni per rispondere a una richiesta ritrasmessa, può verificarsi una lettura di memoria già liberata, nota come use-after-free. La condizione può provocare crash, corruzione della memoria o divulgazione di informazioni del kernel. Il percorso IPv6 non presenta la stessa vulnerabilità perché utilizza una copia delle opzioni. Il difetto risale a Linux 4.4 ed è stato corretto nel codice upstream il 5 ottobre 2026, prima della pubblicazione del CVE.

Anthropic dimostra l’exploit remoto: da una perdita di memoria ai privilegi root

L’elemento più rilevante è la dimostrazione descritta da Anthropic il 27 ottobre, nella quale un modello AI ha sviluppato un exploit dopo le istruzioni iniziali del ricercatore. La catena sfrutta un server Linux dotato di listener Multipath TCP (MPTCP): inizialmente la race condition permette di ottenere informazioni dalla memoria del kernel, fino a individuare un indirizzo utile per superare KASLR, il meccanismo di randomizzazione degli indirizzi. Successivamente, attraverso la stessa vulnerabilità, l’exploit provoca una sovrascrittura che modifica un puntatore di callback e permette l’esecuzione di un comando con privilegi root. Nei test descritti dall’azienda sono stati necessari 48 minuti per ottenere l’indirizzo e altri cinque minuti per raggiungere l’esecuzione del comando. Anthropic non ha pubblicato il codice dell’exploit, la versione esatta del kernel o la configurazione completa utilizzata. Non è pertanto dimostrato che ogni servizio TCP vulnerabile consenta lo stesso risultato, né risultano attacchi reali confermati attraverso questa CVE nelle fonti del 29 ottobre. Il precedente degli exploit Linux sviluppati con il supporto dell’intelligenza artificiale evidenzia comunque l’accelerazione delle attività di ricerca e sviluppo offensivo.

Leggi anche: Linux kernel, tre falle sfruttate e quattro exploit che portano a root

Ubuntu e Red Hat senza patch: le distribuzioni valutano diversamente il rischio

La correzione upstream non coincide automaticamente con la disponibilità degli aggiornamenti nelle distribuzioni enterprise. Al 29 ottobre 2026, Ubuntu 22.04, 24.04, 26.04 e 26.10 risultavano ancora in attesa di kernel corretti, mentre Red Hat Enterprise Linux 8, 9 e 10, insieme a OpenShift 4, indicava gli aggiornamenti come rinviati. Debian aveva già distribuito correzioni per le versioni interessate, così come Oracle Linux con kernel UEK e alcune versioni SUSE e Amazon Linux 2023. La divergenza emerge anche dalle valutazioni CVSS: il team Linux assegna 9,8, Red Hat riporta 5,9 nella scheda CVE e 8,1 in un proprio advisory aggiornato, mentre Amazon valuta la vulnerabilità 7,0. La principale differenza riguarda la complessità dell’attacco e la probabilità di sfruttare con successo la race condition. Gli amministratori devono verificare i bollettini relativi alla propria distribuzione, senza considerare automaticamente sicuro un sistema soltanto perché esiste una patch nel repository upstream.

CISA inserisce GitLab e Cisco nel KEV: qui gli attacchi sono confermati

Il bollettino CISA del 29 ottobre introduce nel catalogo Known Exploited Vulnerabilities due vulnerabilità per le quali esistono evidenze di sfruttamento attivo. La prima, CVE-2026-97229, interessa GitLab Community Edition ed Enterprise Edition e riguarda un integer overflow o wraparound, già descritto nell’analisi della vulnerabilità critica GitLab CVSS 10. La seconda, CVE-2026-76418, coinvolge Cisco Secure Firewall ASA e FTD attraverso una gestione non corretta del valore restituito che conduce a una dereferenziazione di puntatore nullo. Gli attacchi ai firewall Cisco ASA/FTD erano già stati documentati, con possibili riavvii del dispositivo e interruzioni del servizio VPN. La novità è l’inserimento formale nel KEV: la direttiva BOD 26-04 richiede alle agenzie federali statunitensi interessate una gestione delle correzioni basata sul rischio e rafforza la necessità di verificare eventuali compromissioni precedenti all’installazione delle patch. La vulnerabilità TCP Linux non compare invece tra le due nuove aggiunte, e non deve essere presentata come già sfruttata.

AWS Private CA per Kubernetes: certificati emessi oltre i privilegi autorizzati

Il Security Bulletin AWS 2026-156 descrive CVE-2026-119115, una vulnerabilità di autorizzazione in AWS Private CA Connector for Kubernetes, componente utilizzato insieme a cert-manager per richiedere certificati firmati da AWS Private Certificate Authority. Nelle versioni precedenti alla 1.10.1, in determinate condizioni un utente autenticato autorizzato esclusivamente a utilizzare un issuer limitato al namespace poteva ottenere certificati, inclusi certificati di CA subordinate, attraverso un issuer valido per l’intero cluster senza possedere i necessari privilegi. La correzione è disponibile in aws-privateca-issuer 1.10.1 e nell’add-on EKS 1.10.1-eksbuild.1. L’aggiornamento richiede tuttavia una verifica preventiva: issuerRef.kind deve indicare esattamente AWSPCAIssuer oppure AWSPCAClusterIssuer, coerentemente con il riferimento utilizzato. Le configurazioni precedentemente tollerate potrebbero impedire il rinnovo dei certificati, causando interruzioni alla loro scadenza. Chi non può aggiornare immediatamente deve restringere le policy di approvazione e le regole RBAC considerando sia il nome sia il tipo di issuer.

AWS SDK per pandas espone i risultati Athena attraverso bucket non verificati

Un secondo avviso AWS, 2026-153, pubblicato il 28 ottobre, riguarda CVE-2026-118029 nella libreria Python AWS SDK for pandas, conosciuta anche come awswrangler. Il problema interessa la gestione della destinazione predefinita dei risultati delle interrogazioni Amazon Athena: in assenza della verifica sulla proprietà del bucket S3, un attaccante può sfruttare un bucket predisposto in anticipo per leggere risultati di query o alterare i dati restituiti al chiamante, alle condizioni descritte dal bollettino. Sono coinvolte le versioni precedenti alla 3.16.1, che ha corretto il difetto già l’8 maggio 2026, diversi mesi prima della pubblicazione dell’avviso. AWS raccomanda di aggiornare la libreria e verificare che il bucket destinato ai risultati Athena appartenga effettivamente al proprio account, configurando quando necessario una destinazione esplicita o imponendo quella definita nel workgroup. Il rischio riguarda quindi non soltanto la riservatezza delle informazioni, ma anche l’integrità dei risultati utilizzati dalle applicazioni analitiche.

Cisco anticipa nuove correzioni per ISE, UCS Central e Unified Communications

Accanto alle vulnerabilità già note, Cisco ha diffuso un avviso preventivo del 28 ottobre relativo alla pubblicazione, prevista per il 4 novembre 2026, di nuovi bollettini di sicurezza e versioni software corrette per Identity Services Engine, UCS Central e Unified Communications Manager. L’annuncio non contiene ancora identificativi CVE o dettagli tecnici che consentano di attribuire specifiche condizioni di sfruttamento ai prodotti. Cisco raccomanda di consultare i successivi advisory e pianificare l’installazione delle versioni corrette. Il produttore precisa inoltre che non prevede ulteriori pubblicazioni programmate di advisory di security hardening per il resto del 2026, indicando il 20 gennaio 2027 come data successiva. Si tratta quindi di una comunicazione preparatoria, da distinguere dagli incidenti e dalle vulnerabilità già documentate.

Continua con:

GitLab sfruttato, Entra ID CVSS 10 e AWS corregge Athena

CISA porta Cisco ISE nel KEV e AWS corregge un bypass EKS

Patch e verifiche di compromissione diventano una sola priorità operativa

Le comunicazioni del 29 ottobre mostrano perché il solo punteggio CVSS non è sufficiente per stabilire le priorità di sicurezza. Linux presenta una vulnerabilità potenzialmente critica e un exploit root dimostrato in condizioni specifiche, ma senza evidenze pubbliche di sfruttamento reale; GitLab e Cisco, al contrario, figurano nel catalogo KEV proprio perché gli attacchi sono stati confermati. Le vulnerabilità AWS richiedono aggiornamenti accompagnati da controlli sulle autorizzazioni e sulle configurazioni, mentre l’avviso Cisco del 4 novembre richiede preparazione, non l’attribuzione anticipata di rischi ancora sconosciuti. Per amministratori di sistema, responsabili SOC e imprese italiane, la risposta consiste nel verificare le versioni esposte, applicare le correzioni disponibili e ricercare eventuali compromissioni pregresse, pianificando con attenzione gli interventi che possono influenzare certificati, accessi remoti e continuità delle applicazioni.