Cosa ha aggiunto CISA al catalogo KEV il 2 settembre
L'agenzia statunitense per la cybersicurezza CISA ha aggiunto il 2 settembre 2026 sette vulnerabilità sfruttate attivamente al proprio catalogo Known Exploited Vulnerabilities.
L'avviso di CISA ha nominato direttamente i prodotti coinvolti: SonicWall SMA1000, Sangoma Switchvox, Starlette, Kestra OSS, BerriAI LiteLLM e JFrog Artifactory. Ogni voce significa che CISA ha confermato uno sfruttamento reale, non un rischio teorico segnalato solo da ricercatori.
Perché le falle SonicWall meritano attenzione per prime
Due delle sette vulnerabilità riguardano il SonicWall SMA1000, un apparato VPN per l'accesso remoto che si trova ai margini della rete di molte organizzazioni.
CVE-2026-83548 è una falla di falsificazione delle richieste lato server (SSRF), e CVE-2026-83549 è una command injection nel sistema operativo; entrambe permettono a un aggressore che raggiunge l'interfaccia di gestione dell'apparato di agire contro i sistemi interni retrostanti. SMA1000 è molto diffuso tra le piccole e medie imprese europee come porta d'ingresso per il personale in remoto, spesso gestito da team IT ridotti senza un centro operativo di sicurezza dedicato che lo sorvegli ventiquattro ore su ventiquattro.
L'elenco completo: sette CVE, sette prodotti
L'avviso di CISA ha nominato sette vulnerabilità distinte in sette prodotti diversi, e la tabella seguente elenca ciascuna insieme al proprio tipo.
| CVE | Prodotto | Tipo di vulnerabilità |
|---|---|---|
| CVE-2026-83548 | SonicWall SMA1000 | SSRF (falsificazione di richieste lato server) |
| CVE-2026-83549 | SonicWall SMA1000 | Command injection nel sistema operativo |
| CVE-2026-9586 | Sangoma Switchvox | Iniezione SQL |
| CVE-2026-48710 | Starlette | Request smuggling (contrabbando di richieste) |
| CVE-2026-49869 | Kestra OSS | Command injection |
| CVE-2026-59822 | BerriAI LiteLLM | Bypass dell'autenticazione |
| CVE-2026-82329 | JFrog Artifactory | Bypass dell'autenticazione |
Tutte e sette condividono una caratteristica più rilevante del loro singolo punteggio di gravità: CISA afferma che ciascuna è stata osservata sotto sfruttamento attivo, non semplicemente dimostrata sfruttabile in laboratorio.
Nessuna scadenza legale per le aziende europee - proprio questo è il punto
La direttiva vincolante BOD 26-04 di CISA fissa una scadenza di correzione che si applica solo alle agenzie federali civili statunitensi, non alle aziende europee.
Un'azienda europea che usa SonicWall SMA1000 non ha nemmeno un innesco NIS2 legato specificamente a questa aggiunta al catalogo KEV, quindi nessuna legge impone un ciclo di patch. Proprio questo vuoto rende comunque utile leggere il catalogo KEV: la designazione è un segnale di sfruttamento confermato che i team di sicurezza di tutto il mondo seguono, indipendentemente da quale giurisdizione vi leghi una scadenza, e gli aggressori non controllano quale normativa si applichi prima di cercare un apparato esposto.
Cosa fare davvero lunedì mattina
Un team IT che usa SonicWall SMA1000 per l'accesso remoto dovrebbe verificare quell'apparato rispetto all'avviso di CISA prima di qualsiasi altra cosa questa settimana.
Tre passi in ordine: verificare se SMA1000 è in uso da qualche parte nell'ambiente, incluse istanze allestite da un team remoto senza che l'IT centrale lo sapesse; applicare subito la patch di SonicWall per entrambi i CVE, oppure togliere l'interfaccia di gestione da internet pubblico se oggi non è possibile applicare la patch; e controllare i log di accesso dell'apparato per segni che le due falle siano già state usate prima della patch. Il fatto che non sia legalmente obbligatorio applicare la patch è irrilevante rispetto al rischio che l'apparato venga violato.
LiteLLM: la falla che va oltre gli apparati VPN
CVE-2026-59822 riguarda LiteLLM di BerriAI, una falla di bypass dell'autenticazione in un software che funge da gateway autogestito davanti ai grandi modelli linguistici.
LiteLLM è un componente sempre più diffuso dell'infrastruttura IA aziendale europea, usato per instradare, registrare e controllare l'accesso alle chiamate verso i LLM nelle applicazioni proprie di un'azienda. Un team che gestisce un gateway LLM autogestito dovrebbe verificare se LiteLLM fa parte di quello stack e applicare la patch con la stessa urgenza delle falle SonicWall, perché un bypass dell'autenticazione su un gateway davanti a strumenti IA interni è esattamente il tipo di accesso che gli aggressori ora cercano.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.
Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: Sfruttato Prima Che PaperCut Avesse una Patch | Se usi Zimbra, il 21 agosto ha cambiato il rischio
