Il CISA Avverte! Nuovi bug in Gladinet, Control Web Panel e WordPress espongono i sistemi

Due vulnerabilità relative a Gladinet e Control Web Panel (CWP) sono state inserite nel catalogo delle vulnerabilità note sfruttate (KEV) dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, a causa di segnalazioni di sfruttamento attivo.

In virtù dell’utilizzo intensivo, entro il 25 novembre 2025 le agenzie del ramo esecutivo civile federale (FCEB) devono adottare le azioni richieste per salvaguardare i loro network.

I bug inseriti nel catalogo KEV sono i seguenti:

• CVE-2025-11371 (punteggio CVSS: 7,5) – Una vulnerabilità nei file o nelle directory accessibili a parti esterne in Gladinet CentreStack e Triofox che potrebbe causare la divulgazione involontaria di file di sistema.
• CVE-2025-48703 (punteggio CVSS: 9,0) – Una vulnerabilità di iniezione di comandi del sistema operativo in Control Web Panel (in precedenza CentOS Web Panel) che provoca l’esecuzione di codice remoto non autenticato tramite metacaratteri shell nel parametro t_total in una richiesta changePerm del file manager.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Sono state aggiunte anche ulteriori 3 bug di sicurezza critici in tre plugin e temi di WordPress.

Viene quindi consigliato agli utenti di siti WordPress che utilizzano i plugin e i temi menzionati di aggiornarli all’ultima versione il prima possibile, di utilizzare password complesse e di controllare i siti per individuare eventuali segnali di malware o la presenza di account inaspettati.

• CVE-2025-11533 (punteggio CVSS: 9,8) – Una vulnerabilità di escalation dei privilegi in WP Freeio che consente a un aggressore non autenticato di concedersi privilegi amministrativi specificando un ruolo utente durante la registrazione.
• CVE-2025-5397 (punteggio CVSS: 9,8) – Una vulnerabilità di bypass dell’autenticazione in Noo JobMonster che consente ad aggressori non autenticati di eludere l’autenticazione standard e accedere agli account utente amministrativi, presupponendo che l’accesso social sia abilitato su un sito.
• CVE-2025-11833 (punteggio CVSS: 9,8) – La mancanza di controlli di autorizzazione in Post SMTP consente a un aggressore non autenticato di visualizzare i registri delle e-mail, comprese le e-mail di reimpostazione della password, e di modificare la password di qualsiasi utente, incluso un amministratore, consentendo l’acquisizione del sito.

Lo sviluppo arriva poche settimane dopo che la società di sicurezza informatica Huntress ha dichiarato di aver rilevato tentativi di sfruttamento attivi mirati a CVE-2025-11371, con autori di minacce sconosciuti che sfruttano la falla per eseguire comandi di ricognizione (ad esempio, ipconfig /all) trasmessi sotto forma di payload codificato in Base64.

Al momento, non sono disponibili resoconti pubblici sull’utilizzo di CVE-2025-48703 come strumento in attacchi reali. I dettagli tecnici della vulnerabilità sono stati resi noti da Maxime Rinaudo, ricercatore di sicurezza, nel giugno 2025. Questa divulgazione è avvenuta poco dopo l’applicazione della patch nella versione 0.9.8.1205, a seguito di una rivelazione responsabile avvenuta il 13 maggio.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.