Cisco ASA/FTD sotto attacco: AWS avvisa su Brotli e Strands

🛡️ Executive Summary

• Cisco conferma lo sfruttamento attivo di CVE-2026-76418, vulnerabilità CVSS 8,6 che permette di riavviare da remoto firewall ASA e FTD attraverso il servizio SSL VPN senza autenticazione.
• AWS pubblica il bollettino 2026-155 sulla vulnerabilità CVE-2026-111497 nel decoder Brotli, capace di provocare corruzione della memoria e potenziale esecuzione di codice. CISA l’ha inserita nel KEV il 27 ottobre.
• AWS corregge anche CVE-2026-115415 in Strands Agents Tools: una prompt injection può disabilitare il mascheramento delle variabili d’ambiente e rendere leggibili credenziali cloud, token e chiavi API.

Cisco e Amazon Web Services pubblicano tre avvisi di sicurezza che interessano firewall aziendali, applicazioni cloud e agenti di intelligenza artificiale, evidenziando vulnerabilità con conseguenze differenti ma accomunate dalla possibilità di compromettere servizi essenziali attraverso componenti esposti o funzionalità apparentemente secondarie. La situazione più immediata riguarda Cisco Secure Firewall ASA e Threat Defense, dove una vulnerabilità nelle connessioni SSL VPN viene già sfruttata attivamente per provocare il riavvio degli apparati senza necessità di autenticazione. AWS segnala contemporaneamente una falla nel decoder Brotli, presente in numerosi runtime e librerie software, e un problema in Strands Agents Tools che permette a contenuti controllati da un aggressore di influenzare un agente AI fino a disattivare la protezione delle credenziali. I bollettini, pubblicati il 28 ottobre 2026, richiedono interventi distinti: aggiornamento dei firewall, verifica delle dipendenze software nei workload cloud e revisione delle autorizzazioni attribuite agli agenti.

Cisco CVE-2026-76418: sfruttamento attivo contro le connessioni SSL VPN

Cisco conferma che CVE-2026-76418, classificata con CVSS 8,6, viene già sfruttata in attacchi reali contro dispositivi Secure Firewall Adaptive Security Appliance e Secure Firewall Threat Defense. La vulnerabilità, identificata anche attraverso il bug interno CSCwx26625 e associata alla categoria CWE-690, riguarda il servizio di accesso remoto SSL VPN quando un gruppo di tunnel utilizza l’autenticazione secondaria. Secondo l’advisory ufficiale Cisco pubblicato il 28 ottobre, un aggressore remoto non autenticato può inviare una richiesta opportunamente costruita durante il tentativo di connessione VPN, provocando un errore logico che determina il riavvio imprevisto del firewall. L’impatto è un denial of service: l’apparato interrompe temporaneamente l’erogazione delle funzionalità di rete e delle connessioni protette, con conseguenze potenzialmente rilevanti per utenti remoti, sedi aziendali e infrastrutture che dipendono dalla disponibilità continuativa del dispositivo.

L’esposizione non riguarda indistintamente tutte le installazioni ASA e FTD, ma richiede tre condizioni: una release vulnerabile, il servizio di accesso remoto SSL VPN raggiungibile e la presenza dell’autenticazione secondaria nella configurazione del tunnel group. Il completamento dell’autenticazione VPN non è necessario per raggiungere il codice vulnerabile, perché l’errore si verifica durante l’elaborazione delle richieste preliminari. Cisco invita quindi a verificare la presenza della configurazione webvpn, l’abilitazione del servizio sulle interfacce e l’utilizzo della direttiva secondary-authentication-server-group. La verifica deve comprendere anche DefaultWEBVPNGroup, il gruppo predefinito, perché la semplice rimozione dell’elenco dei profili VPN non elimina l’esposizione quando l’autenticazione secondaria rimane attiva in questo gruppo. Per i sistemi FTD, il controllo deve essere effettuato considerando sia le policy configurate in Secure Firewall Management Center o Device Manager sia la configurazione effettivamente distribuita sul firewall.

Il produttore precisa che non esistono workaround capaci di correggere direttamente la vulnerabilità, ma documenta alcune mitigazioni temporanee. Disabilitare l’elenco dei gruppi VPN può ridurre l’esposizione in configurazioni specifiche, mentre rimuovere l’autenticazione secondaria dal gruppo predefinito elimina una delle condizioni necessarie allo sfruttamento. Quest’ultima soluzione richiede particolare cautela, perché la disattivazione del secondo passaggio di autenticazione può ridurre il livello complessivo di sicurezza degli accessi remoti. Cisco raccomanda quindi l’installazione delle versioni software corrette, già disponibili per i diversi rami ASA e FTD. Il PSIRT ha appreso dell’attività di sfruttamento nel corso di ottobre, mentre la vulnerabilità è stata individuata da Eric Fernald durante la gestione di un caso di assistenza tecnica Cisco TAC. Non vengono indicati pubblicamente gli autori degli attacchi, il numero delle organizzazioni coinvolte o eventuali campagne ransomware collegate. Il problema si aggiunge al quadro già documentato delle vulnerabilità Cisco ASA/FTD e dei rischi concentrati sulle infrastrutture edge, ma deve essere distinto dalle precedenti CVE che interessavano il consumo della memoria nelle connessioni SSL/TLS.

Le principali release corrette indicate da Cisco sono riportate nella seguente tabella.

La scelta della versione di destinazione deve comunque tenere conto della compatibilità hardware e degli altri avvisi applicabili. Cisco mette a disposizione il proprio Software Checker per individuare la prima versione che corregge contemporaneamente più vulnerabilità presenti nella stessa installazione.

AWS CVE-2026-111497: Brotli espone Node.js, Lambda e servizi cloud

Il secondo bollettino riguarda CVE-2026-111497, una vulnerabilità nella libreria di decompressione Brotli, sviluppata originariamente da Google e utilizzata diffusamente per comprimere contenuti web e dati applicativi. Nel bollettino di sicurezza 2026-155-AWS, Amazon spiega che il decoder nativo può elaborare in maniera errata dati compressi appositamente costruiti, provocando una scrittura oltre i limiti della memoria assegnata. L’origine tecnica del problema riguarda un cambio di blocco non valido che viene interpretato come necessità temporanea di ricevere ulteriori dati, anziché come errore definitivo nel formato compresso. Il decoder continua così a scrivere in un buffer interno di otto byte, superandone la capacità. Le conseguenze comprendono arresto del processo, lettura di informazioni presenti in memoria e, nelle condizioni che consentono di controllare l’esecuzione, remote code execution con i privilegi dell’applicazione vulnerabile.

Il problema è stato corretto inizialmente attraverso gli aggiornamenti di sicurezza Node.js del 21 ottobre 2026, ma non è limitato all’ecosistema JavaScript. Brotli viene incorporato in runtime, librerie, immagini container e prodotti di terze parti, compresi componenti Microsoft .NET, Python, Java e proxy applicativi. La diffusione della dipendenza rende particolarmente complessa la bonifica perché aggiornare il runtime principale non garantisce che librerie incorporate, livelli Lambda o immagini container utilizzino automaticamente una versione corretta. Il 27 ottobre CISA ha inserito CVE-2026-111497 nel catalogo Known Exploited Vulnerabilities, confermando evidenze di sfruttamento reale. Anche il Canadian Centre for Cyber Security ha pubblicato un’allerta che invita a identificare tutte le installazioni esposte. Le versioni corrette della libreria upstream sono Brotli 1.0.10, 1.1.1 e 1.2.1, in funzione del ramo utilizzato, mentre per Node.js le release di riferimento comprendono 22.23.4, 24.22.1 e 26.12.1, salvo l’applicazione di correzioni equivalenti da parte dei fornitori.

AWS distingue espressamente tra sicurezza del servizio gestito e sicurezza dei runtime utilizzati dalle applicazioni. Il servizio AWS Lambda in sé non è considerato vulnerabile, ma i runtime Lambda basati su Node.js e .NET possono incorporare il componente interessato. Per Node.js 22, 24 e 26 Amazon ha aggiornato le immagini container di base, richiedendo ai clienti di ricostruire e distribuire nuovamente le proprie funzioni. Per le funzioni distribuite come pacchetti ZIP, gli aggiornamenti dei runtime gestiti vengono applicati progressivamente: la prima fase permette di ricevere la correzione quando viene modificato il codice o la configurazione, mentre la seconda aggiorna automaticamente le funzioni configurate per gli aggiornamenti automatici. La distribuzione non avviene contemporaneamente in tutte le regioni AWS, quindi è necessario verificare lo stato effettivo del runtime prima di considerare completata la mitigazione. AWS segnala inoltre una regressione nella release Node.js 24.22.1 e applica aggiornamenti mirati al ramo stabile utilizzato da Lambda, evitando una sostituzione indiscriminata con quella specifica versione. I runtime obsoleti, compresi Node.js 18 e 20, non ricevono invece correzioni e devono essere migrati.

L’impatto si estende ad altri servizi. AWS Amplify Hosting aggiorna automaticamente i runtime gestiti per le applicazioni Server-Side Rendering basate su Node.js 22 e 24; AWS App Runner ha distribuito un runtime aggiornato il 26 ottobre, ma richiede un nuovo deployment dei servizi non ridistribuiti dopo quella data. Amazon CloudWatch Synthetics riceve gli aggiornamenti Lambda per le canary Node.js, mentre è ancora previsto un intervento specifico per il runtime Python Selenium che incorpora Brotli. AWS CodeBuild sta aggiornando le immagini curate, Elastic Beanstalk ha pubblicato la piattaforma Node.js 6.11.12 con versioni corrette e Elemental MediaLive è interessato da un aggiornamento gestito da AWS. Negli ambienti EC2, ECS ed EKS nei quali il cliente controlla direttamente runtime e immagini, la responsabilità dell’aggiornamento resta invece dell’organizzazione che gestisce il workload.

Come mitigazione temporanea, AWS propone una regola AWS WAF per bloccare le richieste HTTP in ingresso con intestazione Content-Encoding: br, suggerendo di attivarla inizialmente in modalità di sola osservazione. La misura presenta però limiti significativi: non protegge da dati Brotli provenienti da risposte di servizi esterni, file caricati o altre sorgenti non intercettate dal WAF, e può interrompere funzionalità legittime di decompressione. La correzione definitiva richiede quindi aggiornamenti delle dipendenze, ricostruzione delle immagini e verifica dei pacchetti effettivamente inclusi nelle applicazioni.

AWS Strands Agents: CVE-2026-115415 permette di rivelare credenziali tramite prompt injection

Il terzo bollettino affronta una vulnerabilità specifica dell’intelligenza artificiale agentica. CVE-2026-115415, descritta nel bollettino AWS 2026-154, riguarda il pacchetto Python open source strands-agents-tools, utilizzato per aggiungere strumenti operativi agli agenti sviluppati attraverso Strands Agents SDK. Il problema interessa le versioni dalla 0.1.0 fino alla 0.8.5 e deriva dal comportamento dello strumento environment, progettato per consentire agli agenti di leggere, elencare, impostare o eliminare le variabili d’ambiente del processo nel quale sono eseguiti. Per impostazione predefinita il componente maschera i valori associati a nomi che sembrano contenere segreti, comprese variabili che includono stringhe come KEY, TOKEN, SECRET o PASSWORD. La protezione non era tuttavia applicata al corretto livello di fiducia: il parametro masked risultava esposto nello schema degli strumenti utilizzabili dal modello linguistico, permettendo allo stesso LLM di modificarne il valore.

La vulnerabilità può essere sfruttata quando un aggressore riesce a inserire istruzioni in un contenuto che l’agente deve elaborare, come una pagina web, un documento, una risposta di uno strumento o un’altra sorgente considerata non attendibile. Attraverso una prompt injection, il contenuto malevolo può indurre il modello a invocare lo strumento environment richiedendo di disattivare il mascheramento. Poiché le operazioni di lettura ed enumerazione non prevedevano una richiesta esplicita di consenso all’operatore, il risultato poteva includere variabili d’ambiente in chiaro, credenziali AWS, chiavi API dei modelli AI, token di accesso ai repository e stringhe di connessione ai database. La successiva sottrazione delle informazioni richiederebbe la disponibilità di un altro strumento o canale attraverso il quale l’agente possa trasferire i dati all’esterno. Il problema è classificato come Moderate, CVSS 6,5, secondo il security advisory GHSA-qjx4-hg6g-2f34. Il punteggio non deve essere interpretato come indicazione di un impatto trascurabile, perché la criticità operativa dipende dai privilegi associati alle credenziali recuperabili.

AWS ha corretto il comportamento nella versione strands-agents-tools 0.8.6, spostando il controllo del mascheramento sotto la responsabilità dell’operatore e impedendo al modello di disabilitarlo autonomamente. Lo strumento environment è stato inoltre deprecato, segnalando l’intenzione di ridurre l’utilizzo di questa funzionalità particolarmente sensibile. Le organizzazioni che non possono aggiornare immediatamente devono rimuovere il tool dagli agenti, evitare credenziali cloud permanenti nelle variabili d’ambiente e limitare le connessioni in uscita dai sistemi che eseguono gli agenti. Amazon raccomanda anche la rotazione delle credenziali potenzialmente esposte, una misura necessaria quando non è possibile escludere che l’agente abbia già letto e trasmesso informazioni sensibili.

Il nuovo difetto si inserisce in una sequenza di vulnerabilità che interessa direttamente i confini di autorizzazione degli agenti AI. In luglio erano già emersi problemi nei componenti Strands e AgentCore relativi alla gestione di credenziali e informazioni sensibili, mentre ad agosto Strands Agents Tools aveva corretto un bypass del consenso umano nelle funzioni di esecuzione Python. CVE-2026-115415 dimostra che una protezione configurata per impostazione predefinita non è sufficiente se il modello può modificarne autonomamente i parametri, soprattutto quando le istruzioni provengono da documenti o servizi esterni che non dovrebbero avere alcuna autorità sulle decisioni di sicurezza.

Firewall, dipendenze e agenti AI richiedono tre strategie di difesa differenti

Le vulnerabilità pubblicate da Cisco e AWS evidenziano tre categorie di rischio che devono essere trattate separatamente. CVE-2026-76418 richiede una risposta immediata sulle infrastrutture di accesso remoto, perché il produttore ha confermato lo sfruttamento attivo e il riavvio di un firewall può interrompere servizi essenziali anche senza una compromissione persistente. CVE-2026-111497 impone invece un controllo delle dipendenze software lungo l’intera catena di distribuzione delle applicazioni, comprendendo librerie native, runtime, container e immagini utilizzate nei servizi cloud. La sua presenza nel catalogo KEV rende prioritario l’aggiornamento delle applicazioni che elaborano dati compressi provenienti da sorgenti non attendibili. CVE-2026-115415, infine, riguarda i privilegi concessi agli agenti e il rischio che contenuti esterni vengano trasformati in istruzioni capaci di modificare controlli di sicurezza.

Per le imprese e le pubbliche amministrazioni italiane il punto centrale non consiste soltanto nell’applicazione delle patch, ma nella verifica della configurazione effettiva dei sistemi e delle responsabilità operative. Un firewall aggiornato può continuare a esporre altri servizi vulnerabili, un runtime cloud corretto può convivere con una libreria Brotli incorporata in una dipendenza non aggiornata e un agente AI può mantenere accesso a credenziali e strumenti non necessari alle proprie funzioni. Il rischio si concentra proprio nei componenti che garantiscono disponibilità, interoperabilità e automazione. La sicurezza delle infrastrutture dipende dalla capacità di verificare non soltanto quali prodotti vengono utilizzati, ma anche quali funzioni sono abilitate, quali librerie vengono realmente eseguite e quali operazioni possono essere autorizzate da un modello linguistico.