CISA mette GitLab e altri cinque exploit nel KEV, Check Point teme attacchi imminenti

🛡️ Executive Summary

• CISA inserisce nel KEV GitLab CVE-2026-85706 e cinque falle già sfruttate in Artifactory, ScreenConnect e MikroTik RouterOS.
• Check Point corregge CVE-2026-85102 e CVE-2026-85103, entrambe CVSS 9,8 e sfruttabili senza autenticazione per ottenere esecuzione di codice.
• Per GitLab, RouterOS, ScreenConnect e Artifactory l’exploitation è confermata; sulle falle Check Point non risultano ancora attacchi, ma NCSC li considera imminenti.

Una nuova serie di vulnerabilità critiche sta concentrando il rischio sui punti di amministrazione dell’infrastruttura: repository di codice, VPN, piattaforme RMM, artifact repository e router. CISA ha inserito nel catalogo KEV la falla CVE-2026-85706 di GitLab, valutata CVSS 10, insieme a cinque vulnerabilità già sfruttate contro JFrog Artifactory, ConnectWise ScreenConnect e MikroTik RouterOS. In parallelo il NCSC olandese ha lanciato un avviso urgente per due vulnerabilità Check Point VPN da 9,8, precisando però un elemento essenziale: in questo caso l’exploitation non è ancora confermata, ma viene considerata sufficientemente probabile da richiedere aggiornamenti immediati.

GitLab CVE-2026-85706 entra nel KEV con punteggio massimo

La vulnerabilità più grave per severità è CVE-2026-85706, un path traversal nella Repository Commits API di GitLab Community Edition ed Enterprise Edition. Secondo l’advisory ufficiale di GitLab, una combinazione di isolamento insufficiente dei percorsi e mancata applicazione dell’autenticazione può permettere, in determinate condizioni, a un aggressore non autenticato di leggere file arbitrari dal server GitLab. La falla interessa le versioni dalla 18.7 precedenti alla 19.1.8, la serie 19.2 prima della 19.2.6 e la 19.3 prima della 19.3.2. GitLab.com è già stato aggiornato e i clienti GitLab Dedicated non devono intervenire, mentre le installazioni self-managed devono passare immediatamente alle release corrette. Il problema assume un peso superiore alla semplice lettura di file perché un server GitLab può contenere configurazioni, token, credenziali, chiavi e materiale utilizzato dalle pipeline CI/CD. CISA ha aggiunto CVE-2026-85706 al KEV l’11 settembre con remediation fissata al 14 settembre, trasformando quindi una patch critica pubblicata dal vendor in una priorità operativa per le organizzazioni esposte.

Artifactory, ScreenConnect e RouterOS sono già oltre la fase teorica

La seconda ondata riguarda vulnerabilità delle quali CISA considera già dimostrato lo sfruttamento reale. In JFrog Artifactory entrano nel KEV CVE-2026-42016, con punteggio 8,1, e CVE-2026-42018, valutata 7,5. La prima può consentire privilege escalation a causa di controlli insufficienti sullo scope dei token, mentre la seconda può esporre un token interno destinato all’utente anonimo anche quando l’accesso anonimo è disabilitato. Sono vulnerabilità già inserite in una catena offensiva insieme a CVE-2026-82329: le precedenti intrusioni contro JFrog Artifactory avevano mostrato la creazione di account amministrativi persistenti, plugin Groovy malevoli e backdoor Rust. Il valore dell’asset compromesso spiega l’interesse degli attaccanti: Artifactory non è un semplice server web, ma un nodo della software supply chain dal quale possono transitare pacchetti, build e credenziali utilizzate dagli sviluppatori.

ConnectWise ScreenConnect entra invece nel KEV con CVE-2026-84869, CVSS 9,9, evoluzione del problema nel trasferimento dei file emerso pochi giorni prima. La falla può consentire il trasferimento e l’esecuzione di file durante una sessione remota attiva senza la normale autorizzazione o conferma dell’host. Il rischio è particolarmente elevato perché un RMM opera esattamente nel punto in cui un aggressore vorrebbe arrivare: accesso remoto, esecuzione privilegiata e movimento tra sistemi amministrati. ScreenConnect era già stato osservato insieme a MikroTik RouterOS come nuovo punto critico per infrastrutture RMM e apparati di rete, ma l’inserimento nel KEV elimina adesso qualsiasi dubbio sulla necessità di trattare il problema come vulnerabilità attivamente sfruttata.

Leggi anche: ScreenConnect è diventato vettore worm-like mentre Telerik espone una RCE pre-auth

MikroTik conferma quanto sia pericoloso lasciare la gestione esposta a Internet

Nel caso MikroTik RouterOS, CISA aggiunge CVE-2026-67277 e CVE-2026-86060. La prima riguarda il servizio bandwidth-test e può provocare disclosure della memoria kernel e denial of service; la seconda consente di manipolare la policy mask di RouterOS fino a ottenere una escalation dei privilegi. Quest’ultima fa parte della catena MikroTrick individuata da CERT Polska e già sfruttata contro apparati reali. L’aspetto operativo è più importante del singolo punteggio CVSS: un router compromesso offre all’attaccante visibilità e controllo su uno snodo attraverso il quale transita il traffico dell’organizzazione. Aggiornare elimina il vettore conosciuto, ma un dispositivo già violato deve essere trattato come un sistema potenzialmente persistito, verificando utenti, configurazioni, script e chiavi prima di considerarlo nuovamente affidabile. Le scadenze imposte da CISA riflettono anche la maturità dell’exploitation: per RouterOS il termine destinato alle agenzie federali è 13 settembre, per ScreenConnect 14 settembre e per le due falle Artifactory 25 settembre.

Check Point ha due RCE pre-auth ma l’exploitation non è ancora confermata

Il quadro Check Point richiede invece una distinzione precisa. CVE-2026-85102 e CVE-2026-85103 hanno entrambe un punteggio CVSS 9,8 e possono portare all’esecuzione di codice da remoto senza credenziali, ma il vendor dichiara di non avere indicazioni di sfruttamento attivo. La prima vulnerabilità interessa il processo di creazione delle connessioni VPN e può permettere il bypass dell’autenticazione seguito dall’esecuzione di codice. La seconda è un heap-based buffer overflow nella decodifica ASN.1 dei certificati VPN e può anch’essa portare a RCE non autenticata su sistemi Quantum Security Gateway e Quantum Security Management. Check Point ha confermato pubblicamente entrambe le vulnerabilità e la disponibilità delle correzioni, specificando che i sistemi protetti attraverso Check Point Live Patch hanno iniziato a ricevere automaticamente la protezione dal 9 settembre.

La posizione del Nationaal Cyber Security Centrum olandese è però molto più prudenziale: pur confermando l’assenza di exploit pubblico e di attacchi documentati al momento dell’avviso, l’agenzia considera alta sia la probabilità di abuso sia l’entità del danno potenziale e prevede tentativi di exploitation nel breve periodo. È una distinzione importante rispetto alle vulnerabilità già presenti nel KEV. Scrivere che Check Point è già sotto attacco attraverso CVE-2026-85102 e CVE-2026-85103 non sarebbe supportato dalle evidenze disponibili; aspettare una conferma di compromissioni prima di applicare le patch sarebbe però una strategia altrettanto debole. L’esperienza recente mostra che gli apparati VPN esposti vengono rapidamente sottoposti a reverse engineering e scansione non appena una patch rivela l’esistenza di una superficie vulnerabile.

Patchare non basta quando l’asset è stato esposto durante lo sfruttamento

La presenza nel Known Exploited Vulnerabilities Catalog cambia il modo in cui deve essere gestita una vulnerabilità. Per GitLab, Artifactory, ScreenConnect e RouterOS la domanda non è più soltanto se installare l’aggiornamento, ma anche se il sistema sia stato esposto e compromesso prima della patch. Un aggiornamento impedisce di riutilizzare la vulnerabilità conosciuta, ma non elimina automaticamente account amministrativi creati dall’attaccante, token rubati, backdoor installate o modifiche persistenti alla configurazione. La stessa logica era già emersa nei precedenti inserimenti CISA riguardanti Check Point, SharePoint e infrastrutture MCP: la priorità del vulnerability management deve cambiare quando alla severità teorica si aggiunge una prova concreta di exploitation. Per GitLab questo significa aggiornare le installazioni self-managed e controllare accessi anomali ai file e alle API; per Artifactory verificare account, plugin e credenziali; per ScreenConnect analizzare sessioni e trasferimenti; per RouterOS cercare alterazioni della configurazione e persistenza.

Continua con:

• CISA aveva già ampliato il KEV con nuove catene contro Cisco e SharePoint
• Check Point e Gitea avevano già mostrato il rischio concentrato sui nodi amministrativi

Il vero denominatore comune sono i sistemi che amministrano altri sistemi

GitLab, Artifactory, ScreenConnect, RouterOS e Check Point svolgono funzioni molto differenti, ma occupano tutti posizioni ad alto privilegio nell’infrastruttura. GitLab governa codice e pipeline, Artifactory la distribuzione degli artefatti, ScreenConnect gli endpoint remoti, RouterOS il traffico di rete e Check Point il perimetro VPN. È questo il denominatore comune che rende la nuova ondata più importante della somma delle singole CVE: compromettere uno di questi prodotti significa spesso conquistare un punto dal quale raggiungere molti altri sistemi. La priorità quindi non può essere stabilita soltanto confrontando CVSS 10, 9,9 o 9,8. Per le vulnerabilità già entrate nel KEV esiste una prova di sfruttamento che impone patch e triage; per Check Point esiste invece una finestra preventiva ancora aperta. È precisamente la finestra che gli amministratori dovrebbero utilizzare prima che “exploitation imminente” diventi la prossima voce del catalogo CISA.