Sfruttata la falla di path traversal in Windmill per leggere i file del server

Una vulnerabilità di path traversal nella piattaforma open source Windmill è sotto sfruttamento attivo, secondo una ricerca di VulnCheck. La falla, identificata come CVE-2026-29059 con un punteggio di gravità di 7,5 sul Common Vulnerability Scoring System (CVSS), consente a un attaccante non autenticato di leggere file in qualsiasi punto del server inviando richieste appositamente create. Questo è importante per i proprietari di siti e i team IT perché Windmill è una piattaforma per sviluppatori che può essere esposta su Internet pubblico, e la stessa tecnica può essere riutilizzata per rubare dati di configurazione sensibili.

Il problema esiste nell'endpoint get_log_file di Windmill, uno specifico indirizzo web che può essere chiamato, situato in /api/w/{workspace}/jobs_u/get_log_file/{filename}. Il valore filename viene aggiunto a un percorso di file senza essere controllato, quindi un attaccante può inserire sequenze ../ per uscire dalla directory prevista. Il termine path traversal si riferisce a questo trucco di usare ../, che in molti sistemi informatici significa salire di una cartella, per uscire da un'area riservata. L'avviso di Windmill, pubblicato a marzo 2026, osserva che il valore più sensibile che un attaccante può leggere è la variabile d'ambiente SUPERADMIN_SECRET, un valore memorizzato nell'ambiente di esecuzione del server, attraverso il file /proc/1/environ. Se quel segreto è impostato, può essere usato come Bearer token, un piccolo testo segreto che prova l'identità nelle richieste web, per autenticarsi come superadmin, l'account con i privilegi più elevati, e quindi eseguire codice arbitrario tramite l'API di anteprima dei job. L'avviso afferma anche che SUPERADMIN_SECRET non è configurato per impostazione predefinita, e per le installazioni standalone di Windmill senza di esso, l'impatto è limitato alla lettura arbitraria di file. Il fornitore ha corretto questo problema in Windmill 1.603.3, rilasciato a gennaio 2026, aggiungendo controlli di sanitizzazione, che puliscono l'input prima di usarlo, al parametro filename per fermare il directory traversal.

VulnCheck attribuisce al suo ricercatore di sicurezza Valentin Lobstein la scoperta e la segnalazione della falla. L'azienda afferma che i tentativi di sfruttamento osservati hanno preso di mira l'endpoint get_log_file al fine di estrarre il contenuto di /etc/passwd, un file Linux standard che elenca gli account utente. Caitlin Condon, vicepresidente della ricerca sulla sicurezza di VulnCheck, ha dichiarato su LinkedIn che l'azienda ha osservato exploit mirati sia agli endpoint diretti di Windmill sia al percorso proxy di Nextcloud. VulnCheck ha identificato circa 170 sistemi vulnerabili esposti in 24 paesi.

Il problema di Windmill è solo una delle diverse vulnerabilità che sono passate all'attacco attivo. La U.S. Cybersecurity and Infrastructure Security Agency, nota come CISA, ha aggiunto quattro falle di sicurezza al suo catalogo Known Exploited Vulnerabilities, che elenca i bug che le agenzie federali devono correggere secondo un calendario. Due di queste sono falle di WordPress tracciate collettivamente come wp2shell, con identificatori CVE-2026-60137 e CVE-2026-63030. Un buffer overflow basato su stack in DD-WRT appare come CVE-2021-27137, e una falla di esecuzione di codice remoto non autenticato in Langflow è tracciata come CVE-2026-0770. Wordfence ha descritto wp2shell come uno degli eventi di sicurezza più significativi del core di WordPress negli ultimi anni, indicando la combinazione di raggiungibilità non autenticata, nessun bisogno di un plugin o tema, una vasta superficie di attacco globale, una via per l'accesso amministratore e l'esecuzione di codice, e la disponibilità pubblica di exploit proof-of-concept, cioè codice di esempio che mostra che l'attacco funziona. I dati sugli attacchi di Wordfence mostrano che gli attori delle minacce stanno inviando richieste che sfruttano un problema di confusione di percorso nelle richieste batch dell'API REST, un insieme di indirizzi web che le applicazioni usano per comunicare con WordPress, e un'iniezione SQL non autenticata, un tipo di attacco che inserisce comandi di database in una richiesta, per raggiungere l'esecuzione di codice.

VulnCheck ha dichiarato di aver verificato più di due dozzine di exploit proof-of-concept unici mirati a wp2shell al 19 luglio 2026, e ha raccomandato agli utenti interessati di aggiornare immediatamente a una versione corretta di WordPress. Anche l'attività intorno a Langflow è misurabile. Ryan Dewhurst di KEVIntel ha detto a The Hacker News che i primi tentativi di attacco in-the-wild contro CVE-2026-0770 sono stati rilevati dai suoi sensori il 27 giugno 2026. Da allora, l'azienda ha registrato 137 tentativi di sfruttamento da 46 indirizzi IP di attaccanti unici associati a 17 paesi. Settantacinque tentativi, più della metà dell'attività, sono arrivati da 20 indirizzi IP di attaccanti negli ultimi sette giorni. I payload osservati includevano controlli di base dell'esecuzione di comandi, tentativi di leggere /etc/passwd o accedere alle credenziali AWS, raccolta di variabili d'ambiente, download di malware usando wget o curl, ed esecuzione di script shell per installare payload di seconda fase. Dewhurst ha detto che l'attività non è limitata ai controlli di vulnerabilità: mentre gran parte di essa coinvolgeva comandi come id, whoami e la lettura di /etc/passwd, l'azienda ha anche osservato payload che tentavano di scaricare malware e ottenere variabili d'ambiente, credenziali AWS e metadati dei container.

Alle agenzie del Federal Civilian Executive Branch è stato detto di correggere queste falle entro il 24 luglio 2026. Per i proprietari di siti web ordinari, il messaggio pratico è che gli strumenti per sviluppatori esposti e i sistemi di gestione dei contenuti non aggiornati possono essere trovati e attaccati rapidamente. Per i proprietari di siti WordPress, un piano di hosting WordPress gestito come AEU Hosting è protetto end to end e può ridurre l'onere di applicare gli aggiornamenti del core dopo eventi come wp2shell. Applicare le patch in anticipo rimane la difesa più affidabile.