CISA aggiunge le vulnerabilità sfruttate di JFrog, ScreenConnect e RouterOS al catalogo KEV

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto cinque vulnerabilità attivamente sfruttate al suo catalogo Known Exploited Vulnerabilities (KEV). Le vulnerabilità appena elencate riguardano JFrog Artifactory, ConnectWise ScreenConnect e MikroTik RouterOS, e arrivano dopo le segnalazioni di attaccanti che le hanno utilizzate in attacchi reali. Il catalogo KEV è un elenco pubblico di debolezze di sicurezza che le agenzie federali statunitensi e molte organizzazioni private usano per dare priorità alle patch, perché esiste una prova confermata di sfruttamento attivo.

Due delle vulnerabilità riguardano JFrog Artifactory, un gestore di repository software ampiamente utilizzato che molti team di sviluppo eseguono sui propri server per archiviare e distribuire pacchetti di codice. CVE-2026-42016 ha un punteggio CVSS di 8.1 ed è una vulnerabilità di autorizzazione errata. Un token è una credenziale digitale che dimostra chi è una persona e cosa è autorizzata a fare. Questa vulnerabilità significa che il sistema controlla chi ha emesso il token ma non cosa il token è autorizzato a fare, quindi un attaccante può ottenere permessi più elevati del previsto, una situazione nota come privilege escalation. CVE-2026-42018 ha un punteggio CVSS di 7.5 ed è una vulnerabilità di autenticazione impropria. Quando l'accesso anonimo è disabilitato, il software può comunque restituire un token utente anonimo interno a un chiamante non autenticato, potenzialmente esponendo risorse sensibili.

Una precedente segnalazione di The Hacker News e del fornitore di sicurezza di proprietà di Google Wiz ha mostrato che gli attaccanti hanno concatenato queste due debolezze di Artifactory con CVE-2026-82329, una vulnerabilità critica con un punteggio CVSS di 9.8 che la CISA aveva già aggiunto al catalogo KEV all'inizio di questo mese. Tra il 15 agosto e l'8 settembre 2026, gli attaccanti hanno usato la catena per aggirare l'autenticazione, escalare i privilegi e assumere il controllo amministrativo dei server Artifactory self-hosted. Wiz ha affermato che l'attività post-sfruttamento includeva la creazione di account amministratore persistenti, il deployment di plugin Groovy malevoli per l'esecuzione di codice e l'installazione di backdoor basate su Rust per mantenere l'accesso a lungo termine. Questo dimostra che le vulnerabilità non sono teoriche, gli attaccanti le stanno usando attivamente per compromettere server reali.

La terza vulnerabilità appena elencata è CVE-2026-84869, un problema ad alta gravità in ConnectWise ScreenConnect con un punteggio CVSS di 9.9. ScreenConnect è uno strumento di accesso remoto e supporto che consente ai tecnici di connettersi e controllare i computer. La vulnerabilità è descritta come gestione impropria dei privilegi e autorizzazione mancante. ConnectWise ha affermato che il problema è una condizione nel client ScreenConnect che può consentire il trasferimento e l'esecuzione di file attraverso una sessione remota attiva senza autorizzazione o conferma dell'host in determinate circostanze. Ciò significa che un attaccante che ha già una sessione remota attiva potrebbe inviare un file sulla macchina ed eseguirlo senza che la persona dall'altra parte approvi l'azione. Il fornitore ha affermato che la vulnerabilità non riguarda i server ScreenConnect. Huntress ha documentato tre incidenti separati in cui gli attori delle minacce hanno abusato della vulnerabilità di ScreenConnect per distribuire un payload Visual Basic Script (VBScript) malevolo ai sistemi appena connessi. Huntress ha esortato le organizzazioni ad aggiornare a ScreenConnect versione 26.6.5.

Le ultime due vulnerabilità riguardano MikroTik RouterOS, il sistema operativo utilizzato sui router MikroTik e su altri dispositivi di rete. CVE-2026-67277 ha un punteggio CVSS di 8.8 ed è un'autenticazione mancante per una funzione critica. Può consentire la divulgazione della memoria del kernel e il denial-of-service nel servizio btest. CVE-2026-86060 ha un punteggio CVSS di 9.2 ed è una neutralizzazione impropria dei delimitatori di argomenti in un comando. Può consentire a un attaccante di modificare la maschera di policy attendibile di RouterOS e ottenere la privilege escalation. La maschera di policy controlla quali utenti o ruoli sono attendibili su un dispositivo RouterOS, quindi modificarla può dare a un attaccante un controllo maggiore. La CISA ha aggiunto queste due vulnerabilità dopo che CERT Polska ha segnalato la scorsa settimana che attori delle minacce sconosciuti stavano sfruttando due debolezze di RouterOS per assumere il controllo di dispositivi vulnerabili senza autenticazione. CERT Polska ha chiamato la catena di exploit MikroTrick. Le agenzie del Federal Civilian Executive Branch (FCEB) sono tenute a correggere le vulnerabilità di RouterOS entro il 13 settembre 2026, la vulnerabilità di ScreenConnect entro il 14 settembre 2026 e le vulnerabilità di Artifactory entro il 25 settembre 2026.

Per i proprietari di siti web, le aziende e i team IT, questo aggiornamento del catalogo è un avvertimento pratico. Software self-hosted come Artifactory può trovarsi tra gli strumenti di sviluppo e i siti web di produzione, quindi una compromissione può dare agli attaccanti un percorso verso il codice e i dati. Strumenti di accesso remoto come ScreenConnect sono preziosi per gli attaccanti perché forniscono un modo legittimo di entrare in un sistema una volta che le credenziali o una sessione vengono abusate. I dispositivi RouterOS sono spesso il primo hop di rete per una piccola azienda o un ufficio remoto, rendendoli un obiettivo di alto valore per gli attaccanti che vogliono intercettare il traffico o muoversi più in profondità in una rete. Poiché il catalogo KEV elenca solo vulnerabilità con sfruttamento attivo confermato, vedere queste cinque voci significa che la correzione dovrebbe essere trattata come urgente piuttosto che di routine. Per le organizzazioni che eseguono applicazioni self-hosted o gestiscono strumenti di accesso remoto, AEU-I fornisce IT, infrastruttura e consulenza security-first che possono aiutare i team a monitorare le vulnerabilità e applicare le patch prima che causino danni. Esaminare i dettagli del servizio su aeu-i.com è un buon primo passo per i lettori che hanno bisogno di aiuto esterno con la gestione delle patch.