GitLab CVSS 10, attacchi su Artifactory, PaperCut e Cisco FMC

🛡️ Executive Summary

• GitLab corregge CVE-2026-85706, path traversal CVSS 10 che consente a utenti non autenticati di leggere file arbitrari dal server.
• JFrog Artifactory e PaperCut NG/MF affrontano exploitation reale: gli attaccanti concatenano falle di autenticazione, creano account amministrativi ed eseguono codice.
• Cisco conferma attacchi contro FMC: tre cluster hanno rubato credenziali, installato Cyclops Blink e utilizzato l’accesso iniziale per distribuire Qilin ransomware.

Quattro piattaforme collocate in punti sensibili dell’infrastruttura enterprise richiedono aggiornamenti immediati, ma per ragioni differenti. GitLab ha corretto una nuova vulnerabilità CVSS 10.0, identificata come CVE-2026-85706, che permette in determinate condizioni la lettura di file arbitrari senza autenticazione. Per JFrog Artifactory, PaperCut NG/MF e Cisco Secure Firewall Management Center, invece, il rischio è già passato dalla teoria agli attacchi reali. Artifactory viene compromesso concatenando vulnerabilità che portano fino all’amministrazione e all’installazione di backdoor; PaperCut sostituisce le patch d’emergenza dopo settimane di exploitation; Cisco collega gli attacchi a gruppi statali e criminali, compresa un’operazione che ha trasformato l’accesso a FMC nel punto di partenza per distribuire Qilin ransomware.

GitLab corregge una path traversal CVSS 10 senza autenticazione

CVE-2026-85706 è la vulnerabilità più grave del nuovo Critical Patch Release di GitLab. Secondo l’advisory ufficiale di GitLab, un problema di confinamento dei percorsi combinato con la mancata applicazione dell’autenticazione nella repository commits API può consentire a un attaccante remoto non autenticato di leggere file arbitrari dal server. La falla raggiunge CVSS 10.0 e interessa GitLab CE ed EE dalla versione 18.7 fino alle release corrette 19.1.8, 19.2.6 e 19.3.2. Al momento dell’advisory GitLab non dichiara exploitation attiva della vulnerabilità, distinzione importante rispetto agli altri casi trattati. Lo stesso aggiornamento risolve però anche CVE-2026-87719, deserializzazione insicura CVSS 9.9 che può permettere a un utente autenticato con accesso a Duo Chat di ottenere configurazioni di Advanced Search e credenziali sensibili, e CVE-2026-88765, buffer overflow CVSS 8.5 che può arrivare alla remote code execution durante l’importazione di un progetto Git appositamente costruito. La priorità resta elevata anche perché GitLab aveva già affrontato ad agosto CVE-2026-19478, sfruttata pochi giorni dopo la disclosure: sulle installazioni self-hosted il tempo tra patch e weaponization è ormai una variabile operativa, non teorica.

Artifactory viene violato concatenando due falle già corrette

Nel caso di JFrog Artifactory l’exploitation è invece documentata. Wiz Research ha osservato attacchi reali tra il 15 agosto e l’8 settembre 2026 contro installazioni self-hosted non aggiornate. Una delle catene sfrutta CVE-2026-42018 e CVE-2026-42016: la prima può restituire a un chiamante non autenticato il token interno dell’utente anonimo anche quando l’accesso anonymous è disabilitato; la seconda permette di scambiare un token a basso privilegio con uno dotato di scope amministrativo perché viene verificata la firma e l’emittente, ma non correttamente lo scope. Gli advisory JFrog indicano rispettivamente le versioni corrette delle diverse linee e fissano 7.133.11 come correzione di CVE-2026-42016. Negli incidenti osservati, gli attaccanti hanno creato account amministrativi persistenti, installato plugin Groovy malevoli, eseguito comandi sul server e distribuito payload, compresa una backdoor personalizzata scritta in Rust. È un’evoluzione rispetto agli attacchi già osservati a inizio settembre contro CVE-2026-82329: Artifactory non contiene soltanto file, ma occupa una posizione privilegiata nella software supply chain e una compromissione amministrativa può estendersi a pacchetti, token e pipeline di build.

Leggi anche: CISA aveva già segnalato vulnerabilità sfruttate in JFrog Artifactory insieme a ownCloud e Linux

PaperCut sostituisce le patch d’emergenza con release sottoposte a QA completo

PaperCut chiude invece la fase delle emergency patch pubblicando release di manutenzione ordinarie che incorporano tutte le correzioni distribuite durante l’incidente. Il bollettino aggiornato dal produttore indica PaperCut NG/MF 26.0.5, 25.0.13 e 24.1.10 come versioni da installare e precisa che queste build sostituiscono integralmente gli Emergency Patch Release precedenti. Le vulnerabilità CVE-2026-81578 e CVE-2026-82078 sono state sfruttate attivamente e possono essere concatenate per superare i controlli di autenticazione e arrivare all’esecuzione di codice. PaperCut segnala che il numero di nuovi compromessi è diminuito nell’ultima settimana, ma avverte che i server ancora esposti pubblicamente e privi di patch continuano a essere bersagliati e che il comportamento post-compromise della seconda ondata risulta più sofisticato rispetto alle prime fasi. Chi utilizza una delle build di emergenza non dovrebbe quindi considerare concluso l’intervento: la raccomandazione è migrare alle nuove maintenance release, che hanno attraversato l’intero ciclo di QA e includono ulteriore hardening. Le due CVE erano già entrate nel catalogo KEV dopo la conferma degli attacchi contro PaperCut NG e MF, rendendo l’aggiornamento una priorità anche per installazioni che non risultano direttamente raggiungibili da Internet.

Cisco FMC passa dall’accesso iniziale a credenziali, impianti e Qilin

Il quadro più articolato arriva da Cisco Secure Firewall Management Center. Cisco Talos ha ricostruito tre cluster distinti di attività post-compromissione che sfruttano CVE-2026-20079 e CVE-2026-20316. La prima raggiunge CVSS 10.0 e permette a un aggressore remoto non autenticato di bypassare l’autenticazione dell’interfaccia web, eseguire script e ottenere accesso root al sistema operativo sottostante. La seconda, CVSS 5.3, consente di autenticarsi attraverso un account a basso privilegio basato su credenziali statiche e può diventare molto più pericolosa quando concatenata con altri difetti FMC. Cisco ha aggiornato l’advisory di CVE-2026-20079 il 9 settembre per confermare esplicitamente lo sfruttamento attivo. Il primo cluster, UAT-12197, ha installato web shell JSP e un command executor JAR per interrogare database interni e sottrarre credenziali. UAT-11823 ha usato entrambe le CVE per distribuire una reverse shell Netcat, raccogliere configurazioni dei dispositivi gestiti e installare una variante di Cyclops Blink, malware precedentemente attribuito a Sandworm. È la dimostrazione di quanto una piattaforma di gestione firewall possa diventare, una volta compromessa, una sorgente privilegiata di informazioni sull’intera rete.

Qilin sfrutta gli strumenti FMC per preparare la cifratura della rete

Il terzo cluster, UAT-11988, sposta l’incidente direttamente nel territorio ransomware. Gli aggressori hanno sfruttato CVE-2026-20316 come punto d’ingresso e successivamente impiegato strumenti legittimi presenti in FMC secondo un approccio living-off-the-land. Talos ha osservato ricognizione dell’ambiente, distribuzione di strumenti di tunneling per mantenere l’accesso, raccolta di credenziali, costruzione di una lista degli endpoint da colpire e tentativi di terminare i prodotti di sicurezza. Solo al termine di questa preparazione è stato distribuito Qilin ransomware sui sistemi selezionati. La dinamica mostra perché il punteggio CVSS relativamente basso di CVE-2026-20316 non debba essere interpretato isolatamente: la falla FMC era già stata inserita nel KEV dopo la scoperta della credenziale statica, ma la telemetria Talos consente ora di osservare cosa accade dopo l’accesso. Qilin, già associato nel 2026 a operazioni contro organizzazioni di alto profilo e alla rivendicazione dell’incidente che ha coinvolto un sistema dell’ATF, dimostra ancora una volta come il ransomware sia spesso soltanto l’ultima fase visibile di una compromissione molto più lunga.

Continua con:

• GitLab, Snowflake e Forminator: vulnerabilità critiche nella catena dello sviluppo software
• Cisco corregge falle CVSS 10 in Secure Workload, Crosswork e infrastrutture industriali

La patch non basta quando l’exploitation è già avvenuta

Le quattro vicende richiedono infine procedure diverse. Per GitLab, in assenza di evidenze pubbliche di sfruttamento della nuova CVE, l’azione prioritaria è portare immediatamente le installazioni self-hosted a 19.3.2, 19.2.6 o 19.1.8 e ridurre la finestra disponibile per la weaponization. Per Artifactory, PaperCut e Cisco FMC, invece, installare la versione corretta non chiude automaticamente l’incidente: l’exploitation osservata comprende creazione di amministratori, emissione di token, installazione di plugin e web shell, furto di credenziali e persistenza attraverso tunnel o malware. Gli amministratori devono quindi affiancare alla patch la revisione dei log e delle identità create durante il periodo di esposizione, la rotazione dei segreti potenzialmente accessibili e la ricerca di modifiche anomale. Nel caso di Artifactory questo significa controllare anche la trust chain delle build; su FMC, verificare credenziali e configurazioni dei dispositivi gestiti; su PaperCut, trattare un server esposto e non aggiornato come potenzialmente compromesso. La vulnerabilità viene chiusa dalla patch, ma una backdoor installata prima dell’aggiornamento rimane un incidente da gestire.