Il CISA Avverte! Nuovi bug in Gladinet, Control Web Panel e WordPress espongono i sistemi

Redazione RHC : 5 Novembre 2025 08:00

Due vulnerabilità relative a Gladinet e Control Web Panel (CWP) sono state inserite nel catalogo delle vulnerabilità note sfruttate (KEV) dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, a causa di segnalazioni di sfruttamento attivo.

In virtù dell’utilizzo intensivo, entro il 25 novembre 2025 le agenzie del ramo esecutivo civile federale (FCEB) devono adottare le azioni richieste per salvaguardare i loro network.

I bug inseriti nel catalogo KEV sono i seguenti:

• CVE-2025-11371 (punteggio CVSS: 7,5) – Una vulnerabilità nei file o nelle directory accessibili a parti esterne in Gladinet CentreStack e Triofox che potrebbe causare la divulgazione involontaria di file di sistema.
• CVE-2025-48703 (punteggio CVSS: 9,0) – Una vulnerabilità di iniezione di comandi del sistema operativo in Control Web Panel (in precedenza CentOS Web Panel) che provoca l’esecuzione di codice remoto non autenticato tramite metacaratteri shell nel parametro t_total in una richiesta changePerm del file manager.

Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro. Scarica ora la Demo di Business Log per 30gg Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Sono state aggiunte anche ulteriori 3 bug di sicurezza critici in tre plugin e temi di WordPress.

Viene quindi consigliato agli utenti di siti WordPress che utilizzano i plugin e i temi menzionati di aggiornarli all’ultima versione il prima possibile, di utilizzare password complesse e di controllare i siti per individuare eventuali segnali di malware o la presenza di account inaspettati.

• CVE-2025-11533 (punteggio CVSS: 9,8) – Una vulnerabilità di escalation dei privilegi in WP Freeio che consente a un aggressore non autenticato di concedersi privilegi amministrativi specificando un ruolo utente durante la registrazione.
• CVE-2025-5397 (punteggio CVSS: 9,8) – Una vulnerabilità di bypass dell’autenticazione in Noo JobMonster che consente ad aggressori non autenticati di eludere l’autenticazione standard e accedere agli account utente amministrativi, presupponendo che l’accesso social sia abilitato su un sito.
• CVE-2025-11833 (punteggio CVSS: 9,8) – La mancanza di controlli di autorizzazione in Post SMTP consente a un aggressore non autenticato di visualizzare i registri delle e-mail, comprese le e-mail di reimpostazione della password, e di modificare la password di qualsiasi utente, incluso un amministratore, consentendo l’acquisizione del sito.

Lo sviluppo arriva poche settimane dopo che la società di sicurezza informatica Huntress ha dichiarato di aver rilevato tentativi di sfruttamento attivi mirati a CVE-2025-11371, con autori di minacce sconosciuti che sfruttano la falla per eseguire comandi di ricognizione (ad esempio, ipconfig /all) trasmessi sotto forma di payload codificato in Base64.

Al momento, non sono disponibili resoconti pubblici sull’utilizzo di CVE-2025-48703 come strumento in attacchi reali. I dettagli tecnici della vulnerabilità sono stati resi noti da Maxime Rinaudo, ricercatore di sicurezza, nel giugno 2025. Questa divulgazione è avvenuta poco dopo l’applicazione della patch nella versione 0.9.8.1205, a seguito di una rivelazione responsabile avvenuta il 13 maggio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli