Avviso su vulnerabilità di sicurezza da parte delle autorità statunitensi

dog signage — Claudio Schwarz / Unsplash

Il Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha emesso un avviso riguardante quattro vulnerabilità di sicurezza confermate. Il 9 novembre 2026, il CISA ha aggiunto al Catalogo delle vulnerabilità sfruttabili (KEV) le vulnerabilità relative a "IBM Aspera Faspex", "FreeSWITCH", "OpenSSH" e "GPUStack".

La vulnerabilità di "IBM Aspera Faspex" è identificata come "CVE-2026-123218", che riguarda un difetto nel processo di autorizzazione. Sebbene sia necessaria l’autenticazione per sfruttare questa vulnerabilità, un messaggio manipolato può eludere l'autorizzazione, consentendo così l'acquisizione di privilegi da amministratore.

La vulnerabilità di "FreeSWITCH" è identificata come "CVE-2026-116779". Questa vulnerabilità potrebbe consentire l'esecuzione di comandi API di gestione attraverso la richiesta SIP "MESSAGE", potenzialmente portando all'acquisizione di informazioni di configurazione e autenticazione, al controllo delle chiamate e all'esecuzione di comandi OS arbitrari.

Per quanto riguarda "GPUStack", è stata registrata la vulnerabilità "CVE-2026-102895", che è dovuta a un difetto nel processo di autenticazione. Attacchi mirati possono bypassare l'autenticazione tramite configurazioni di reverse proxy specifiche o falsificazione degli header HTTP, permettendo operazioni con privilegi da amministratore e l'accesso a informazioni riservate.