CISA Segnala Sette Vulnerabilità Sfruttate Dopo Attacchi Reverse Shell e Miner

L'Agenzia per la Sicurezza Informatica e le Infrastrutture degli Stati Uniti (CISA) ha aggiunto sette falle di sicurezza al suo catalogo Known Exploited Vulnerabilities (KEV), un elenco pubblico di debolezze che vengono attivamente sfruttate e richiedono patch urgenti. Le vulnerabilità riguardano prodotti ampiamente utilizzati, tra cui appliance SonicWall SMA 1000, Sangoma Switchvox, JFrog Artifactory, Kludex Starlette, Kestra OSS e Berri LiteLLM. Ciascuna ha un punteggio Common Vulnerability Scoring System (CVSS), un numero da 0 a 10 che valuta la gravità, con 10 come massima criticità. Le più gravi sono CVE-2026-83548 in SonicWall SMA 1000 (CVSS 10.0), una falla di server-side request forgery che potrebbe consentire a un attaccante remoto non autenticato di accedere a funzionalità sensibili ed eseguire operazioni non autorizzate; CVE-2026-49869 in Kestra OSS (CVSS 10.0), una falla di injection di comandi del sistema operativo che potrebbe consentire a un attaccante remoto non autenticato di creare ed eseguire workflow arbitrari senza credenziali; e CVE-2026-82329 in JFrog Artifactory (CVSS 9.8), una falla di autenticazione impropria che, nella configurazione predefinita, potrebbe consentire a un attaccante non autenticato con accesso alla rete di ottenere privilegi amministrativi. Sono state aggiunte anche CVE-2026-83549 in SonicWall SMA 1000 (CVSS 7.8), una falla di injection di comandi post-autenticazione che consente a un amministratore remoto autenticato di eseguire comandi arbitrari del sistema operativo; CVE-2026-9586 in Sangoma Switchvox (CVSS 9.3), una falla di SQL injection che consente l'esecuzione non autenticata di istruzioni SQL arbitrarie su un database relazionale backend utilizzato da molte applicazioni web; CVE-2026-48710 in Kludex Starlette (CVSS 6.5), una debolezza di contrabbando di richieste/risposte HTTP che potrebbe causare il bypass dell'autenticazione quando l'autenticazione dipende da un percorso URL ricostruito; e CVE-2026-59822 in Berri LiteLLM (CVSS 8.8), un problema di autenticazione impropria nell'endpoint Model Context Protocol (MCP) Streamable HTTP che potrebbe consentire a un attaccante non autenticato di stabilire una sessione autenticata utilizzando un token Bearer arbitrario.

Le aggiunte arrivano dopo che SonicWall ha dichiarato di aver indagato su un caso che indicava lo sfruttamento attivo di CVE-2026-83548 e CVE-2026-83549. Rapporti delle società di sicurezza Horizon3.ai e watchTowr hanno descritto attaccanti sconosciuti che armavano CVE-2026-9586 in Sangoma Switchvox e CVE-2026-82329 in JFrog Artifactory per implementare reverse shell, strumenti che fanno sì che una macchina compromessa richiami l'attaccante così che possa inviare comandi da remoto, e per coniare token di amministrazione per l'enumerazione successiva di utenti, gruppi, set di credenziali e topologie di accesso federato. Per CVE-2026-48710 in Starlette, un rapporto di giugno 2026 di Horizon3.ai ha rilevato che la falla poteva essere concatenata con un'altra vulnerabilità di Berri LiteLLM, CVE-2026-42271 (CVSS 8.7), per bypassare l'autenticazione e ottenere l'esecuzione di codice remoto su distribuzioni LiteLLM vulnerabili, utilizzate per gestire l'accesso ai servizi di modelli linguistici di grandi dimensioni. CVE-2026-42271 è stata aggiunta al catalogo KEV nello stesso periodo. Wiz, di proprietà di Google, ha collegato attaccanti associati al ransomware Qilin, noto anche come Agenda, allo sfruttamento attivo di quella catena, e ha dichiarato di aver osservato tentativi di sfruttamento che coinvolgevano CVE-2026-59822 contro i suoi honeypot, sistemi esca progettati per attirare gli attaccanti, per sondare gli endpoint di enumerazione dei modelli.

L'inclusione di CVE-2026-49869 in Kestra OSS è stata motivata da un rapporto di Microsoft della scorsa settimana. Microsoft ha dichiarato che la vulnerabilità è stata probabilmente sfruttata da un attaccante alla fine di giugno 2026 per stabilire una reverse shell, effettuare la scoperta dell'ambiente dei container Docker, eseguire evasioni difensive, implementare un miner di criptovalute e raccogliere dati. Docker è una piattaforma che impacchetta le applicazioni in container isolati, e Kestra è uno strumento open-source di orchestrazione dei workflow. Microsoft ha delineato quattro percorsi di impatto dalla compromissione di Kestra: esecuzione di shell tramite il motore di workflow, esposizione dell'ambiente dei container tramite l'accesso al socket Docker, dirottamento delle risorse dell'host tramite l'implementazione del miner e raccolta successiva tramite l'esecuzione di attività del workflow. Il rapporto ha anche notato che un successivo evento curl-pipe-shell ha codificato l'output raccolto e lo ha memorizzato tramite l'interfaccia key-value di Kestra stessa, riducendo la dipendenza da artefatti di file autonomi.

Microsoft ha separatamente descritto attori malintenzionati che irrompono nei gateway LiteLLM utilizzando CVE-2026-42271 e CVE-2026-48710 per consegnare un miner XMRig, un programma che estrae la criptovaluta Monero, tramite un binario ELF, il formato di file eseguibile standard su Linux. Prima di implementare il miner, gli attaccanti hanno eseguito il fingerprinting dell'host e terminato i processi di mining concorrenti. Hanno anche abusato delle informazioni sul database precedentemente raccolte per raggiungere il livello dati del database relazionale supportato da LiteLLM e prendere di mira le tabelle denominate LiteLLM_ProxyModelTable e LiteLLM_VerificationToken. Da lì hanno raccolto record contenenti la configurazione del modello, il materiale delle chiavi del provider a monte, gli endpoint del provider e le chiavi virtuali emesse dal proxy. La catena di attacco includeva anche la persistenza tramite la modifica del file authorized_keys utilizzato per gli accessi SSH, la comunicazione di comando e controllo e meccanismi di evasione difensiva. Microsoft e Wiz hanno dichiarato che questi attacchi mostrano che l'infrastruttura dell'intelligenza artificiale, inclusi LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo e server MCP, è diventata un bersaglio redditizio per rubare chiavi API, ottenere accesso ai sistemi backend, mantenere la persistenza, condurre injection di prompt cieche, eseguire post-sfruttamento nativo dell'IA e monetizzare gli host infetti tramite mining illecito di criptovalute. Le chiavi API sono token segreti che le applicazioni utilizzano per verificare l'accesso ai servizi.

In un'altra campagna documentata da Microsoft, si sospetta che gli avversari stiano sfruttando istanze RAGFlow esposte, che sono piattaforme open-source di generazione aumentata dal recupero, utilizzando le falle CVE-2026-45312, CVE-2026-28797, CVE-2026-24770, CVE-2025-68700 e CVE-2025-69286. L'obiettivo in questi casi era stabilire la persistenza e rubare le chiavi dei provider di modelli linguistici di grandi dimensioni (LLM) e i relativi metadati. Microsoft ha dichiarato che gli obiettivi osservati erano coerenti tra i casi; la telemetria mostrava la raccolta di credenziali, meccanismi di accesso durevoli e monetizzazione delle risorse, anche se il percorso di esecuzione differiva a seconda del prodotto. L'azienda ha consigliato ai difensori di monitorare i carichi di lavoro di IA in base al loro ruolo nel piano di controllo, non solo come applicazioni isolate.

Ai sensi della Direttiva Operativa Vincolante 26-04, alle agenzie del ramo esecutivo civile federale è raccomandato di applicare le patch per tutte le vulnerabilità appena aggiunte, ad eccezione di CVE-2026-48710 e CVE-2026-59822, entro il 5 settembre 2026. Le agenzie hanno tempo fino al 16 settembre 2026 per affrontare le falle di Starlette e LiteLLM. Per i proprietari di siti web, le aziende e i team IT, la lezione è che il software esposto a Internet deve essere patchato rapidamente e monitorato per segni di abuso come un utilizzo elevato e inaspettato della CPU, processi sconosciuti o connessioni in uscita insolite. Per gli operatori di siti web che preferiscono scaricare l'onere delle patch e dell'indurimento, AEU Hosting fornisce