Da PHP a Linux: gravi vulnerabilità nel kernel OS diffuse prima del rilascio delle patch

In rete sono emerse vulnerabilità critiche nel kernel Linux, segnalate da Trend Micro tramite l'iniziativa Zero Day Initiative. Due di queste, con punteggio CVSS 9,0, riguardano la funzione SMB Direct e il server di file nel kernel, permettendo l'esecuzione remota di codice. Il programmatore Greg Kroah-Hartman ha espresso perplessità sulla pubblicazione anticipata, non confermata ufficialmente.

Questa settimana è emersa la notizia di vulnerabilità critiche nel linguaggio di programmazione PHP e nei certificati TLS/SSL. Ora, in rete, è apparsa anche l’informazione su diverse vulnerabilità nel kernel Linux, per le quali non sono ancora stati rilasciati correttivi. I rapporti sulle vulnerabilità sono stati pubblicati nell’ambito dell’iniziativa Zero Day Initiative di Trend Micro e, probabilmente, ciò è avvenuto per errore.

Tra i problemi segnalati, due vulnerabilità hanno un punteggio di 9,0 sulla scala CVSS. Una di esse riguarda la funzione SMB Direct, utilizzata per migliorare le prestazioni nello scambio di file tramite il protocollo SMB.

La seconda vulnerabilità riguarda l’implementazione del server di file nel kernel Linux. Entrambe le vulnerabilità potrebbero essere sfruttate da malintenzionati per l’esecuzione remota di codice. Altri rapporti descrivono vulnerabilità che permettono di elevare i privilegi su un dispositivo locale tramite codice di rete, nonché vulnerabilità che colpiscono il driver grafico VMware e altri.

I correttivi per le vulnerabilità al momento sono in fase di test o in preparazione per l’integrazione in uno degli aggiornamenti futuri del kernel Linux, ma nessuno di essi è ancora stato inserito nel ramo principale del kernel. Il programmatore Greg Kroah-Hartman, responsabile della manutenzione del kernel Linux, ha espresso perplessità riguardo alla pubblicazione delle informazioni sulle vulnerabilità, per le quali non sono ancora pronti i patch. Al momento non è chiaro se la divulgazione di queste informazioni sia avvenuta realmente in modo accidentale.

La divulgazione delle vulnerabilità del kernel Linux è seguita alla pubblicazione di dati su certificati TLS/SSL compromessi, legati al centro di certificazione indiano eMudhra. Le chiavi private di otto certificati intermedi sono risultate compromesse, il che avrebbe potuto essere sfruttato da malintenzionati per spacciarsi per siti legittimi e intercettare connessioni crittografate. Inoltre, gli sviluppatori del linguaggio di programmazione PHP hanno rilasciato ieri correttivi di emergenza per le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, di cui si era venuti a conoscenza in precedenza.

Entrambe le vulnerabilità hanno ricevuto un punteggio di 9,2 sulla scala CVSS e avrebbero potuto essere utilizzate per l’esecuzione remota di codice sui server interessati senza autenticazione preliminare.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response