Cloudflare, KVM e Cisco espongono sandbox, host Linux e reti enterprise

🛡️ Executive Summary

• Cinque falle in Cloudflare workerd consentono sandbox escape e accesso cross-tenant; due sono Critical e gli ambienti self-hosted devono aggiornarsi.
• Zapscape, CVE-2026-64561, sfrutta una use-after-free nella shadow MMU KVM/x86 per evadere da guest nested e raggiungere l’host Linux.
• Cisco corregge dodici classi di vulnerabilità in Catalyst SD-WAN e IOS XE, con tre CVE SD-WAN valutate 9.9 e una IOS XE 9.8.

Tre fronti differenti mettono sotto pressione i meccanismi utilizzati per separare codice non attendibile, macchine virtuali e infrastrutture di rete. Check Point Research ha scoperto cinque vulnerabilità in workerd, runtime alla base di Cloudflare Workers e Code Mode, costruendo una sandbox escape da prompt injection e un attacco capace di raggiungere dati appartenenti ad altri tenant. Zapscape, identificata come CVE-2026-64561, consente invece a un guest privilegiato di rompere l’isolamento di KVM/x86 in determinate configurazioni di nested virtualization. Sul fronte networking, Cisco corregge dodici gruppi di vulnerabilità in Catalyst SD-WAN e IOS XE, proseguendo il rafforzamento iniziato con le recenti patch per IOS XE, SD-WAN, CIMC e RoomOS e in un contesto dove anche gli agenti AI stanno raggiungendo sistemi reali e workflow GitHub.

Cinque falle rompono il confine di Cloudflare workerd

Check Point Research ha analizzato Cloudflare Code Mode, sistema che modifica il modello tradizionale di utilizzo degli strumenti MCP: invece di chiedere al modello di effettuare una sequenza di chiamate strutturate, Code Mode espone gli strumenti come una API TypeScript tipizzata e permette all’agente di scrivere un programma che li orchestra direttamente. Quel programma deve però essere eseguito in un ambiente isolato e Cloudflare utilizza workerd, lo stesso runtime open source alla base di Workers. La ricerca tecnica pubblicata da Check Point Research documenta cinque vulnerabilità di memory corruption nel codice C++ nativo di workerd: due out-of-bounds read nelle implementazioni di URLPattern, una use-after-free in node:zlib, una seconda use-after-free in HTMLRewriter e una catena che combina bypass SQL e deserializzazione nel sistema KV. Due delle falle, quelle in node:zlib e HTMLRewriter, sono state classificate Critical da Cloudflare. Il problema interessa una superficie sempre più importante perché la sicurezza degli agenti non dipende soltanto dall’LLM, ma anche dal codice che collega modello, runtime e strumenti, tema già emerso con le vulnerabilità di Terraform MCP e n8n che espongono credenziali aziendali e con le falle negli agenti AWS, Google e Vercel.

Una prompt injection diventa esecuzione nativa fuori dalla sandbox

L’attacco più significativo contro Code Mode parte da una normale prompt injection. Poiché l’agente è progettato proprio per generare TypeScript, l’attaccante tenta di indurlo a produrre codice capace di raggiungere il percorso vulnerabile di node:zlib; la use-after-free permette quindi di passare dalla manipolazione del modello alla corruzione della memoria nativa e, nella catena sviluppata dai ricercatori, all’esecuzione di codice fuori dal V8 isolate. La conseguenza cambia radicalmente il modello di rischio della prompt injection: non si tratta più soltanto di convincere un agente a utilizzare in modo scorretto uno strumento autorizzato, ma di trasformare l’input ostile in un punto di ingresso verso il runtime sottostante. Check Point osserva che molte strutture native vengono allocate nell’heap tcmalloc, esterno sia alla “cage” di V8 sia alle Memory Protection Keys utilizzate per rafforzare l’isolamento. La ricerca si collega alle precedenti tecniche con cui SharedRoot evadeva la sandbox di Claude Cowork e raggiungeva i file del Mac e agli attacchi in cui Cursor poteva essere trasformato in un vettore RCE attraverso contenuti controllati. La superficie agentica deve quindi comprendere parser, binding, heap nativo, librerie Node e runtime, non soltanto prompt e policy del modello.

Cloudflare Workers rischiava anche l’accesso ai segreti di altri tenant

Il secondo exploit costruito da Check Point non riguarda direttamente il comportamento di un agente AI, ma l’architettura multi-tenant di Cloudflare Workers. Una lettura out-of-bounds in URLPattern permette a un Worker malevolo di accedere oltre il proprio spazio previsto nell’heap condiviso e recuperare dati appartenenti ad altri tenant nello stesso processo. Check Point ha verificato entrambe le catene sulla versione self-hosted di workerd e precisa di non avere eseguito l’exploit cross-tenant sulla produzione Cloudflare, per evitare di interferire con clienti reali. Cloudflare ha però confermato ai ricercatori che le vulnerabilità risultavano riproducibili nell’ambiente produttivo con una sola eccezione relativa alla vecchia implementazione urlpattern_original. Il servizio Workers gestito da Cloudflare è stato corretto, mentre chi esegue autonomamente workerd o Code Mode deve installare almeno la versione v1.20260619.1. Al momento della divulgazione non risultano CVE assegnate alle cinque falle. Il caso rafforza il problema già affrontato dalla Open Secure AI Alliance creata per proteggere infrastrutture e agenti AI e dalle analisi sulle debolezze dei framework agentici e dei server MCP: quando più tenant condividono lo stesso processo, un errore nella “colla” C++ può mettere in discussione l’intero confine di isolamento.

Zapscape evade KVM attraverso la shadow MMU

Zapscape, tracciata come CVE-2026-64561, sposta il problema dell’isolamento dal runtime applicativo alla virtualizzazione Linux. La vulnerabilità è una use-after-free nella shadow MMU di KVM/x86 e interessa in particolare scenari nei quali un guest L1 esegue a sua volta macchine virtuali L2 attraverso nested virtualization. Nel write-up tecnico pubblicato dal ricercatore Hyunwoo Kim viene spiegato che KVM controlla se la root utilizzata durante la gestione di un page fault sia obsoleta prima di eseguire make_mmu_pages_available(). Questa operazione può però avviare il reclaim delle shadow page e invalidare proprio la root già controllata; il percorso continua successivamente senza ripetere la verifica, costruendo child page sotto una root ormai invalida. La catena porta a una struttura collegata contemporaneamente a più liste, alla liberazione dell’oggetto e infine a un dangling pointer con post-free write. Il problema riprende la superficie già emersa con Januscape nelle precedenti vulnerabilità KVM/x86 e interessa direttamente gli ambienti in cui la virtualizzazione Linux viene aggiornata mantenendo kernel e stack KVM a lungo termine.

Il PoC di Zapscape crea un file root sull’host Linux

La dimostrazione pubblica di Zapscape va oltre un crash dell’hypervisor. Il PoC costruisce due primitive cross-cache, determina lo slide KASLR e concatena percorsi interni del kernel fino all’utilizzo del meccanismo usermode helper, arrivando a creare sull’host il file /Zapscape con uid 0. La demo pubblica utilizza AMD nested SVM/NPT su Linux 7.1.3, ma la causa comune risiede nella shadow MMU condivisa dal codice KVM per AMD e Intel. Sui sistemi Intel esiste un prerequisito ulteriore: al guest L1 devono essere esposte sia la page-walk length EPT a quattro livelli sia quella a cinque livelli; su AMD questa specifica condizione non è richiesta. Lo scenario richiede inoltre privilegi kernel nel guest L1, normalmente equivalenti a root nella macchina virtuale, e nested virtualization disponibile. Non significa quindi che qualsiasi VM KVM possa automaticamente uscire sull’host, ma rende la falla particolarmente significativa per cloud, laboratori e piattaforme che offrono virtualizzazione annidata a tenant non fidati. Il problema si inserisce nello stesso modello di rischio delle falle VMware capaci di mettere in discussione l’isolamento delle macchine virtuali e delle vulnerabilità Firecracker corrette da AWS negli ambienti di virtualizzazione. La correzione upstream sposta il controllo della root dopo il reclaim, così che KVM riavvii il fault se la pagina è stata invalidata durante l’operazione.

Cisco chiude cinque gruppi di falle in Catalyst SD-WAN

Sul fronte delle reti enterprise, Cisco ha pubblicato un nuovo hardening release per Catalyst SD-WAN che raggruppa diverse vulnerabilità interne in cinque CVE classificate in base alla relativa categoria CWE. Le più gravi sono CVE-2026-20303, CVE-2026-20304 e CVE-2026-20310, tutte con punteggio massimo CVSS 9.9: riguardano rispettivamente validazione impropria dell’input, controllo degli accessi e gestione non sicura dei link prima dell’accesso ai file. Seguono CVE-2026-20312, relativa alla conservazione in chiaro di informazioni sensibili, con CVSS 8.8, e CVE-2026-20313, relativa alla validazione delle quantità ricevute in input, con CVSS 7.7. Il bollettino Cisco Catalyst SD-WAN di agosto 2026 specifica che le vulnerabilità riguardano il software indipendentemente dalla configurazione e comprendono installazioni on-premise, Cloud-Pro, cloud gestito da Cisco e ambienti Government FedRAMP. Non esistono workaround e Cisco non risulta a conoscenza di sfruttamenti attivi. L’intervento arriva dopo lo zero-day SD-WAN che aveva aperto percorsi verso privilegi root e dopo la compromissione di Cisco FMC attraverso credenziali statiche, confermando quanto i componenti di gestione delle reti siano ormai bersagli di particolare valore.

IOS XE corregge command injection e vulnerabilità di memoria

Il secondo blocco riguarda Cisco IOS XE, per il quale il produttore ha raggruppato sette classi di vulnerabilità in CVE-2026-20267, CVE-2026-20268, CVE-2026-20269, CVE-2026-20270, CVE-2026-20271, CVE-2026-20272 e CVE-2026-20273. La più grave è CVE-2026-20272, valutata CVSS 9.8, legata alla neutralizzazione impropria di elementi speciali e quindi a scenari di command, operating system e argument injection. CVE-2026-20267 raggiunge 9.0 e riguarda il controllo degli accessi; le altre classi coprono buffer overflow e scritture out-of-bounds, gestione errata del ciclo di vita delle risorse, errori di calcolo, problemi nel control flow e validazione insufficiente degli input. Nel security advisory Cisco dedicato a IOS XE l’azienda precisa che sono coinvolti i sistemi in modalità autonoma o controller e che non esistono mitigazioni alternative all’aggiornamento. Le release corrette comprendono 17.9.10, 17.12.8, 17.15.6, 17.18.4/17.18.4a e 26.1.2. Anche questo pacchetto nasce da test interni condotti attraverso metodologie tradizionali e frontier AI models, elemento che accompagna la nuova strategia Cisco di ricerca proattiva. La portata del rilascio è significativa rispetto alle 13 vulnerabilità IOS XE corrette a marzo e alle operazioni nelle quali dispositivi Cisco compromessi sono stati trasformati in infrastrutture persistenti.

L’isolamento diventa il punto comune tra agenti, VM e reti

Le tre divulgazioni mostrano un problema comune a livelli tecnologici molto differenti: un confine di sicurezza è forte soltanto quanto il codice che lo implementa e lo attraversa. Cloudflare utilizza V8 isolate, MPK e una seconda sandbox di processo, ma le primitive native allocate fuori dalla cage hanno permesso ai ricercatori di raggiungere memoria che quelle difese non proteggevano. KVM separa guest e host attraverso hardware e shadow page table, ma un controllo effettuato nel momento sbagliato ha lasciato continuare il page fault su una root ormai invalida. Cisco applica invece autenticazione, autorizzazione e parsing agli apparati che governano il traffico enterprise, ma errori nelle stesse classi possono trasformare input, file e comandi in percorsi di compromissione. Il risultato completa il quadro osservato con le falle negli agenti AI e nelle piattaforme cloud enterprise e con le vulnerabilità che espongono pipeline, hypervisor e framework applicativi: l’hardening deve concentrarsi non soltanto sul componente più visibile, ma soprattutto sui punti di collegamento tra livelli di fiducia differenti, perché è proprio lì che sandbox, tenant, guest e domini amministrativi finiscono per condividere memoria, privilegi o capacità operative.