Il CISA Avverte! Nuovi bug in Gladinet, Control Web Panel e WordPress espongono i sistemi

Due vulnerabilità relative a Gladinet e Control Web Panel (CWP) sono state inserite nel catalogo delle vulnerabilità note sfruttate (KEV) dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, a causa di segnalazioni di sfruttamento attivo.

In virtù dell’utilizzo intensivo, entro il 25 novembre 2025 le agenzie del ramo esecutivo civile federale (FCEB) devono adottare le azioni richieste per salvaguardare i loro network.

I bug inseriti nel catalogo KEV sono i seguenti:

• CVE-2025-11371 (punteggio CVSS: 7,5) – Una vulnerabilità nei file o nelle directory accessibili a parti esterne in Gladinet CentreStack e Triofox che potrebbe causare la divulgazione involontaria di file di sistema.
• CVE-2025-48703 (punteggio CVSS: 9,0) – Una vulnerabilità di iniezione di comandi del sistema operativo in Control Web Panel (in precedenza CentOS Web Panel) che provoca l’esecuzione di codice remoto non autenticato tramite metacaratteri shell nel parametro t_total in una richiesta changePerm del file manager.

Sono state aggiunte anche ulteriori 3 bug di sicurezza critici in tre plugin e temi di WordPress.

Viene quindi consigliato agli utenti di siti WordPress che utilizzano i plugin e i temi menzionati di aggiornarli all’ultima versione il prima possibile, di utilizzare password complesse e di controllare i siti per individuare eventuali segnali di malware o la presenza di account inaspettati.

• CVE-2025-11533 (punteggio CVSS: 9,8) – Una vulnerabilità di escalation dei privilegi in WP Freeio che consente a un aggressore non autenticato di concedersi privilegi amministrativi specificando un ruolo utente durante la registrazione.
• CVE-2025-5397 (punteggio CVSS: 9,8) – Una vulnerabilità di bypass dell’autenticazione in Noo JobMonster che consente ad aggressori non autenticati di eludere l’autenticazione standard e accedere agli account utente amministrativi, presupponendo che l’accesso social sia abilitato su un sito.
• CVE-2025-11833 (punteggio CVSS: 9,8) – La mancanza di controlli di autorizzazione in Post SMTP consente a un aggressore non autenticato di visualizzare i registri delle e-mail, comprese le e-mail di reimpostazione della password, e di modificare la password di qualsiasi utente, incluso un amministratore, consentendo l’acquisizione del sito.

Lo sviluppo arriva poche settimane dopo che la società di sicurezza informatica Huntress ha dichiarato di aver rilevato tentativi di sfruttamento attivi mirati a CVE-2025-11371, con autori di minacce sconosciuti che sfruttano la falla per eseguire comandi di ricognizione (ad esempio, ipconfig /all) trasmessi sotto forma di payload codificato in Base64.

Al momento, non sono disponibili resoconti pubblici sull’utilizzo di CVE-2025-48703 come strumento in attacchi reali. I dettagli tecnici della vulnerabilità sono stati resi noti da Maxime Rinaudo, ricercatore di sicurezza, nel giugno 2025. Questa divulgazione è avvenuta poco dopo l’applicazione della patch nella versione 0.9.8.1205, a seguito di una rivelazione responsabile avvenuta il 13 maggio.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks