AWS corregge OpenSearch e rafforza API Gateway con mTLS verso i backend

🛡️ Executive Summary

• CVE-2026-84942 permette a utenti autenticati con permessi di scrittura di eseguire JavaScript nei browser di altri utenti tramite Vega.
• Amazon API Gateway supporta ora certificati client propri o emessi da AWS Private CA per autenticazione mTLS verso backend aziendali.
• Sony LIV usa Kinesis, Firehose, EMR e Iceberg per ridurre da ore a secondi la latenza delle analytics video in tempo reale.

AWS aggiorna contemporaneamente sicurezza e architettura delle proprie piattaforme cloud. Il bollettino 2026-102 corregge CVE-2026-84942, una stored XSS in OpenSearch Dashboards sfruttabile da utenti autenticati con permessi di scrittura sulle dashboard, mentre Amazon API Gateway introduce il supporto ai client certificate personalizzati per l’autenticazione mTLS verso i backend. In parallelo, Sony LIV mostra come Kinesis, Firehose, EMR e Apache Iceberg possano sostenere analytics video su milioni di sessioni concorrenti con latenze ridotte da ore a secondi. I tre sviluppi convergono sullo stesso tema: controllo dell’identità, sicurezza dei dati e gestione in tempo reale di infrastrutture distribuite.

CVE-2026-84942 colpisce le visualizzazioni Vega di OpenSearch Dashboards

Il punto più urgente riguarda OpenSearch Dashboards. Il bollettino AWS 2026-102 descrive una stored cross-site scripting nella funzione di espressione Vega: un attore remoto autenticato, dotato di permessi per modificare dashboard, può salvare una visualizzazione appositamente costruita ed eseguire JavaScript arbitrario nel browser di altri utenti che aprono il contenuto. La falla interessa le release self-managed dalla 2.0.0 alla 2.19.0 e dalla 3.0.0 alla 3.5.0, con correzione in 2.19.5 e 3.6.0. Amazon OpenSearch Service è stato patchato attraverso il normale service software update, mentre OpenSearch Serverless non è interessato. Il nuovo bug arriva a pochi giorni da CVE-2026-83497, una RCE critica nel plugin SQL di OpenSearch, e segue un agosto particolarmente intenso per il progetto. OpenSearch aveva già corretto SSRF, lettura di file locali e bypass nelle query asincrone, mentre un precedente ciclo AWS aveva coinvolto anche OpenSearch Dashboards e altre componenti cloud. La superficie resta quindi particolarmente sensibile perché OpenSearch viene sempre più utilizzato come livello centrale per log, telemetria, analytics e dati operativi. Per le installazioni self-managed AWS raccomanda l’upgrade immediato alle versioni corrette; in attesa della patch è possibile limitare i permessi di scrittura sulle visualizzazioni oppure disabilitare Vega. Nei domini gestiti, invece, è sufficiente applicare l’ultimo service software update senza modificare la versione del motore.

Leggi anche: AWS corregge OpenSearch mentre AgentCore e Kiro ampliano la superficie cloud

API Gateway accetta certificati client aziendali per il backend mTLS

Sul piano infrastrutturale, Amazon API Gateway elimina una limitazione importante nelle connessioni mutual TLS verso i backend. Finora il servizio poteva utilizzare soltanto un certificato client self-signed generato da API Gateway; un backend configurato per fidarsi esclusivamente di una CA aziendale o partner poteva quindi rifiutare la connessione. Con la nuova funzione Bring Your Own Client Certificate, API Gateway può utilizzare certificati emessi da AWS Private Certificate Authority oppure da CA esterne importate in AWS Certificate Manager. Il certificato viene associato allo stage della REST API e presentato automaticamente durante l’handshake mTLS verso il backend. Il cambiamento è particolarmente utile nelle migrazioni da gateway legacy, nelle architetture con PKI interne e negli ambienti regolamentati nei quali i server accettano soltanto identità certificate da autorità specificamente approvate. AWS mostra una configurazione con API Gateway, Network Load Balancer, ECS Fargate e NGINX, ma il modello si applica più in generale ai backend che richiedono autenticazione reciproca. La novità si inserisce nello stesso percorso che ha portato AWS a rafforzare identità, networking privato e controllo degli accessi nelle proprie piattaforme. Le recenti modifiche a Redshift, IAM Identity Center e PrivateLink mostrano la stessa direzione: mantenere traffico, credenziali e identità all’interno di percorsi esplicitamente controllati invece di affidarsi a connessioni generiche tra servizi.

Sony LIV porta le analytics video da ore a secondi

Il caso Sony LIV mostra invece cosa accade sul livello dati quando la stessa infrastruttura deve sostenere milioni di utenti contemporaneamente. La piattaforma di streaming indiana ha costruito una pipeline basata su Amazon Kinesis Data Streams per gli eventi prioritari in tempo reale, Data Firehose per l’ingestion batch, EMR con Apache Spark e Apache Iceberg su S3. Il sistema raccoglie eventi da mobile, web e Smart TV e separa i percorsi a bassa latenza da quelli ad alto volume. Durante eventi come Asia Cup 2025, l’architettura ha gestito milioni di sessioni concorrenti, permettendo di monitorare quasi in tempo reale buffering, playback failure, video start time, comportamento degli utenti e conversion funnel. AWS dichiara che la latenza analitica è passata da ore a secondi, mentre ClickHouse gestisce le dashboard operative e Glue mantiene un catalogo dati unificato per analytics, machine learning e futuri sistemi di raccomandazione. La stessa evoluzione di Kinesis era già emersa quando AWS aveva introdotto la consegna diretta verso streaming table Apache Iceberg, riducendo la necessità di connector e consumer intermedi. Il caso Sony LIV mostra il risultato operativo di questa strategia: evento in tempo reale, lakehouse e analytics diventano parti dello stesso flusso, invece di pipeline separate aggiornate a intervalli.

Continua con:

• AWS AgentCore, Quick e Codex entrano nello stack enterprise
• AWS elimina i cold start Java e amplia sicurezza e streaming

AWS lega sicurezza, identità e dati nello stesso livello operativo

Il bollettino OpenSearch, il nuovo mTLS di API Gateway e il caso Sony LIV appartengono a livelli diversi dello stack, ma raccontano la stessa esigenza: più dati e servizi vengono concentrati nel cloud, più diventano importanti identità forti, separazione dei privilegi e visibilità in tempo reale. La stored XSS dimostra quanto una dashboard possa diventare essa stessa superficie di attacco; il supporto BYO certificate permette alle imprese di mantenere le proprie PKI anche dietro API Gateway; Sony LIV mostra invece quanto il dato debba essere elaborato quasi immediatamente per avere valore operativo. AWS sta quindi rafforzando contemporaneamente la sicurezza del piano di controllo e la velocità del piano dati. Infrastrutture moderne, soprattutto quelle che collegano API, analytics, AI e osservabilità, non possono più trattare questi due aspetti come problemi separati.