CISA conferma attacchi alla RCE WordPress: AWS corregge tre falle in Redshift, Amplify e Babelfish

📌 In Sintesi

• WordPress sotto attacco: CISA inserisce CVE-2026-119977 nel catalogo KEV dopo aver rilevato prove di sfruttamento attivo. La vulnerabilità consente RCE senza autenticazione durante gli aggiornamenti del core.
• WordPress 7.1.4 corregge la falla: il problema interessa le versioni fino alla 7.1.3. Per le agenzie federali statunitensi la scadenza di mitigazione è fissata al 6 novembre 2026.
• Tre nuove vulnerabilità AWS: Redshift JDBC espone a esecuzione di codice, Amplify MapLibre a XSS persistente e Babelfish for PostgreSQL a escalation dei privilegi. AWS pubblica le rispettive correzioni.

La CISA inserisce una vulnerabilità del core WordPress nel catalogo KEV dopo aver acquisito prove di sfruttamento attivo, mentre Amazon Web Services pubblica tre advisory che riguardano l’esecuzione di codice nel driver Redshift JDBC, un XSS persistente nella libreria Amplify MapLibre e l’escalation dei privilegi in Babelfish for PostgreSQL. La falla WordPress, CVE-2026-119977, permette in particolari condizioni un’esecuzione di codice senza autenticazione durante gli aggiornamenti completi del CMS e interessa le versioni da 4.7 fino a 7.1.3. La correzione è nella release 7.1.4, già pubblicata il 28 ottobre. I tre problemi AWS, invece, non risultano dichiarati come sfruttati attivamente: richiedono aggiornamenti distinti e colpiscono componenti software specifici, non indiscriminatamente tutti i servizi ospitati su AWS.

Leggi anche: WordPress sotto attacco: quasi 63.000 tentativi contro una falla RCE

CISA inserisce WordPress CVE-2026-119977 nel catalogo KEV dopo attacchi reali

Il 3 novembre 2026 l’agenzia statunitense aggiunge CVE-2026-119977 al proprio Known Exploited Vulnerabilities Catalog, una decisione che certifica l’esistenza di evidenze di sfruttamento, senza quantificare le installazioni compromesse. La vulnerabilità, classificata High con CVSS 8.1 e segnalata dal ricercatore Umut Bayram attraverso Wordfence, è una condizione TOCTOU, ossia time-of-check/time-of-use, nel processo di aggiornamento del core. Durante l’installazione di un pacchetto completo, WordPress prepara file in directory temporanee con percorsi prevedibili; se raggiungibili dal web e interpretabili come PHP, possono consentire a un aggressore remoto di intervenire nella breve finestra in cui l’operazione è in corso. Non è un accesso permanente sfruttabile allo stesso modo in qualsiasi momento: occorrono le condizioni di esposizione e tempistica descritte nel record CVE. L’inserimento nel KEV rende però urgente verificare le installazioni ancora vulnerabili. La scadenza del 6 novembre riguarda gli adempimenti delle agenzie federali statunitensi, non costituisce automaticamente un termine legale per tutti i gestori di siti.

WordPress 7.1.4 chiude la RCE: attenzione alle vecchie versioni e ai log

La risposta principale consiste nell’aggiornare WordPress alla versione 7.1.4 o a una release del proprio ramo che includa espressamente la correzione. Nel comunicato ufficiale del 28 ottobre, il progetto WordPress conferma di avere risolto una debolezza negli aggiornamenti che può causare esecuzione di codice remoto durante la finestra d’installazione. Sono previsti backport per i rami precedenti fino a 4.7, ma la disponibilità effettiva delle singole patch va controllata: l’annuncio precisa che la distribuzione è progressiva. Chi gestisce siti professionali dovrebbe verificare la versione realmente installata, completare gli aggiornamenti, esaminare gli accessi sospetti alle directory temporanee e controllare eventuali file PHP inattesi. Un WAF non sostituisce la patch e i tentativi bloccati non equivalgono a compromissioni riuscite. L’ingresso nel KEV rappresenta una novità rispetto alle precedenti segnalazioni di tentativi d’attacco: aggiunge una conferma istituzionale dello sfruttamento attivo.

AWS corregge una RCE Redshift JDBC e un XSS persistente in Amplify MapLibre

Nel bollettino 2026-168-AWS, Amazon identifica CVE-2026-119084 nel driver JDBC di Amazon Redshift, per le versioni precedenti a 2.3.0. Il problema riguarda il caricamento non sicuro di classi attraverso parametri dell’URL di connessione JDBC o campi del profilo delle credenziali AWS. Un soggetto capace di influenzare quegli input potrebbe ottenere esecuzione di codice nel contesto dell’applicazione che utilizza il driver; non è una dimostrazione che l’intero servizio Redshift sia attaccabile senza prerequisiti. AWS raccomanda l’aggiornamento alla versione 2.3.0 e, nell’attesa, controlli rigorosi sugli input impiegati per costruire le connessioni. Il bollettino 2026-167-AWS riguarda invece CVE-2026-121652, un cross-site scripting persistente nella libreria open source maplibre-gl-js-amplify, utilizzata per integrare Amazon Location Service con mappe e geofence. Fino alla versione 4.0.2, valori controllabili dall’utente, inclusi titolo, indirizzo, place_name e identificativi geografici, potevano essere inseriti nell’HTML delle interfacce senza escaping adeguato. Il codice JavaScript malevolo poteva quindi essere eseguito nel browser di altri utenti, con possibili conseguenze sulle sessioni e sui dati dell’applicazione. La versione 4.0.3 applica la codifica necessaria: AWS chiarisce che nessuna misura alternativa sostituisce completamente l’aggiornamento.

Continua con:

CISA impone patch Ivanti in quattro giorni mentre cPanel e AWS correggono RCE

Bricksforge sotto attacco, GoBalance espone chiavi .onion e AWS corregge due falle

Babelfish for PostgreSQL: escalation dei privilegi e priorità di intervento

Il terzo advisory, 2026-165-AWS, assegna CVE-2026-119922 a un controllo degli accessi insufficiente nell’estensione Babelfish for PostgreSQL, utilizzata per eseguire applicazioni compatibili con SQL Server su PostgreSQL. Un utente remoto già autenticato può ottenere privilegi superiori a quelli previsti. Le versioni interessate comprendono i rami 1.2–1.5, 2.1–2.15, 3.1–3.12, 4.0–4.8 e 5.1–5.4; le correzioni sono disponibili nelle release 4.10, 5.6 e 6.1. Amazon non indica workaround risolutivi: è necessario aggiornare l’estensione. Le quattro vulnerabilità richiedono quindi priorità differenti. WordPress ha evidenze di sfruttamento attivo documentate dalla CISA e necessita di intervento immediato, soprattutto sulle installazioni esposte. Per Redshift JDBC occorre verificare se parametri e profili siano influenzabili da input non fidati; per Amplify quali applicazioni mostrino dati geografici modificabili da terzi; per Babelfish gli accessi autenticati ai database interessati. I tre advisory AWS non attestano exploit osservati: trattarli come incidenti già avvenuti confonderebbe rischio tecnico ed evidenza operativa. La difesa efficace parte dalla stessa distinzione.