ColdFusion sotto attacco, BeyondTrust e KVM Linux esposti a exploit critici

🛡️ Executive Summary

• Adobe ColdFusion è già sotto attacco tramite CVE-2026-48282, una RCE pre-auth di massima gravità corretta con patch urgenti.
• BeyondTrust segnala due vulnerabilità critiche in Remote Support e Privileged Remote Access legate a configurazioni di autenticazione vulnerabili.
• KVM Linux, AWS mcp-gateway-registry e Gitea Docker richiedono aggiornamenti immediati per ridurre rischio di escape, SQL injection e impersonificazione.

Una nuova ondata di vulnerabilità critiche colpisce componenti molto diversi dell’infrastruttura enterprise: server applicativi, strumenti di accesso remoto, virtualizzazione, componenti cloud open-source e piattaforme di sviluppo self-hosted. Il caso più urgente riguarda Adobe ColdFusion, già oggetto di sfruttamento attivo tramite CVE-2026-48282, una falla di massima gravità che consente esecuzione di codice remoto senza autenticazione. In parallelo, BeyondTrust corregge due difetti critici nei prodotti Remote Support e Privileged Remote Access, mentre nel kernel KVM Linux emerge Januscape, una vulnerabilità rimasta nascosta per 16 anni e capace di abilitare l’escape da guest a host. Completano il quadro una SQL injection autenticata nel componente AWS mcp-gateway-registry e tentativi di ricognizione su Gitea in configurazioni Docker vulnerabili. Il denominatore comune è la rapidità con cui i bug esposti diventano obiettivi operativi per threat actor.

Adobe ColdFusion colpito da una RCE già sfruttata

La vulnerabilità più urgente è CVE-2026-48282, corretta da Adobe in ColdFusion dopo l’emersione di attività malevola osservata entro poche ore dalla divulgazione pubblica. Il difetto consente esecuzione di codice remoto senza autenticazione e senza interazione dell’utente, una combinazione particolarmente critica per istanze esposte su Internet o raggiungibili da reti non completamente fidate. Le versioni interessate includono ColdFusion 2025.9, ColdFusion 2023.20 e release precedenti. Adobe ha chiesto agli amministratori di installare gli aggiornamenti entro 72 ore, mentre anche il Canadian Centre for Cyber Security ha richiamato l’urgenza del patching. Il rischio operativo è elevato perché ColdFusion viene spesso usato per applicazioni web legacy, portali interni, workflow aziendali e sistemi integrati con database o credenziali di servizio. Una RCE pre-auth su questo tipo di piattaforma può trasformarsi rapidamente in accesso persistente, furto di dati, web shell, movimento laterale o deploy di payload secondari. Gli amministratori devono trattare le istanze ColdFusion come asset prioritari, verificando esposizione, versione, patch applicate e presenza di indicatori di compromissione nei log applicativi e web server.

BeyondTrust corregge due falle critiche nell’accesso remoto

Il secondo fronte riguarda BeyondTrust, che ha segnalato due vulnerabilità critiche nei prodotti Remote Support e Privileged Remote Access fino alla versione 25.3.2 inclusa. CVE-2026-40138 deriva da autenticazione impropria e consente a un attaccante non autenticato di bypassare controlli di accesso e raggiungere account con privilegi elevati quando è attiva una specifica configurazione di autenticazione. CVE-2026-40139 permette invece accesso remoto non autorizzato alle istanze vulnerabili, anche in questo caso in presenza di una particolare configurazione. La gravità non dipende solo dal bug, ma dalla funzione stessa dei prodotti coinvolti: soluzioni di supporto remoto e accesso privilegiato sono collocate al centro dei flussi amministrativi e possono offrire agli attaccanti un percorso diretto verso account sensibili, sessioni remote e sistemi interni. Il precedente storico del vendor aumenta la priorità, perché vulnerabilità BeyondTrust sono già state sfruttate in campagne reali e in scenari collegati al ransomware. Gli ambienti che usano queste piattaforme devono aggiornare rapidamente, rivedere le configurazioni di autenticazione, controllare account privilegiati e verificare sessioni remote anomale.

Januscape espone il KVM Linux a escape da guest a host

La vulnerabilità Januscape, tracciata come CVE-2026-53359, colpisce il sottosistema KVM del kernel Linux e ha un impatto particolarmente delicato sugli ambienti di virtualizzazione. Si tratta di un bug use-after-free rimasto nel codice per circa 16 anni, localizzato nella shadow MMU condivisa dai sistemi x86 Intel e AMD. Il problema nasce dal riutilizzo delle pagine di tracking basato soltanto sull’indirizzo di memoria, senza distinguere correttamente il tipo di pagina. In condizioni specifiche, questa inconsistenza consente a un attaccante con privilegi root all’interno della macchina virtuale guest di eseguire codice sull’host.

Il requisito di privilegi elevati nella guest limita lo scenario rispetto a una compromissione remota diretta, ma non lo rende secondario: nei cloud privati, negli ambienti multi-tenant, nei laboratori di test o nelle pipeline CI/CD che eseguono VM non completamente fidate, l’escape guest-to-host rappresenta uno degli scenari peggiori. La correzione è stata integrata nel kernel principale a giugno 2026 e distribuita in diverse release stabili. In attesa del patching completo, la mitigazione più prudente consiste nel disabilitare la virtualizzazione annidata per guest non fidati.

AWS mcp-gateway-registry vulnerabile a SQL injection autenticata

AWS ha pubblicato un bollettino per CVE-2026-14471, una vulnerabilità di SQL injection autenticata nel componente open-source mcp-gateway-registry, interessando le versioni dalla 1.0.3 alla 1.0.12. Il difetto consente a un utente autenticato di manipolare il parametro table_name per eseguire query SQL arbitrarie sul database delle metriche. L’impatto include lettura di dati sensibili, potenziale esposizione di API key, modifica o cancellazione di informazioni. La falla è stata corretta nella versione 1.0.13 e non sono disponibili workaround, rendendo l’aggiornamento obbligatorio. Il caso è rilevante anche oltre il singolo componente, perché mostra come strumenti open-source integrati in architetture cloud e flussi di monitoraggio possano diventare punti deboli se esposti a utenti autenticati ma non pienamente fidati. Le organizzazioni devono verificare dove il componente è installato, limitare gli account autorizzati, ruotare eventuali chiavi esposte nei database di metriche e controllare query anomale o modifiche inattese agli oggetti monitorati. In ambienti DevOps, una SQL injection autenticata può diventare vettore di pivoting verso segreti e configurazioni operative.

Gitea Docker esposta a impersonificazione tramite reverse proxy

Threat actor hanno iniziato a sondare CVE-2026-20896, vulnerabilità critica in Gitea eseguito tramite Docker, con punteggio CVSS 9.8. Il difetto deriva dalla configurazione predefinita dell’immagine Docker, che imposta REVERSE_PROXY_TRUSTED_PROXIES = * e quindi considera affidabile qualsiasi indirizzo IP. Quando l’autenticazione tramite reverse proxy è abilitata, un attaccante può inviare direttamente alla porta del container l’header X-WEBAUTH-USER e impersonare utenti, inclusi account amministrativi, senza password né token. La vulnerabilità è stata corretta in Gitea 1.26.3. Finora gli attacchi osservati risultano limitati a ricognizione, ma la superficie esposta è significativa: circa 6.200 istanze Gitea risultano raggiungibili da Internet. Il rischio è particolarmente elevato perché Gitea ospita codice sorgente, issue, pipeline, token, chiavi deploy e configurazioni di progetto. Una compromissione amministrativa può portare a supply chain attack, modifica di repository, inserimento di backdoor o furto di credenziali di sviluppo. Gli amministratori devono aggiornare, restringere i proxy fidati e impedire accesso diretto alla porta del container.

Priorità di patching e controlli difensivi immediati

La priorità operativa deve partire da Adobe ColdFusion, perché CVE-2026-48282 è già sfruttata attivamente e presenta impatto pre-auth. Subito dopo vanno trattate le istanze BeyondTrust, data la natura privilegiata dei prodotti e la possibilità di bypass in configurazioni specifiche. Gli ambienti Linux con virtualizzazione KVM devono verificare la presenza delle patch per CVE-2026-53359 e applicare mitigazioni su guest non fidati, in particolare disabilitando la virtualizzazione annidata dove non necessaria. Per AWS mcp-gateway-registry, l’unica opzione sicura è l’aggiornamento alla versione 1.0.13, accompagnato da review di credenziali e log del database. Per Gitea Docker, è necessario aggiornare alla 1.26.3, correggere la configurazione dei proxy fidati e assicurarsi che il container non sia direttamente esposto. Questa sequenza di incidenti conferma che vulnerabilità in prodotti maturi, componenti open-source e configurazioni predefinite possono generare rischi equivalenti quando toccano asset esposti o privilegiati. Il patching resta urgente, ma deve essere accompagnato da inventory accurato, hardening delle interfacce amministrative, segmentazione e monitoraggio degli accessi anomali.