Ing. Calogero Bono
Il 9 novembre 2026 l'Agenzia per la cybersicurezza nazionale ha pubblicato un alert sul SIEM open source Wazuh. Sono disponibili Proof of Concept per 8 vulnerabilità, 5 delle quali di gravità alta, che toccano Wazuh e i suoi Dashboard Plugins. Il vendor ha già corretto i difetti, ma gli exploit dimostrativi pubblici abbassano la soglia per chi vuole provarci. Chi usa Wazuh per controllare la sicurezza della propria infrastruttura deve verificare la versione installata.
कुछ शब्द, तथ्यों में जाने से पहले। SIEM è un sistema che raccoglie e analizza i log per far emergere attacchi. XDR estende il controllo a più strati, dai dispositivi alla rete. Un PoC (Proof of Concept) è un codice dimostrativo che prova che la falla è sfruttabile. Il CVSS è il punteggio da 0 a 10 che misura la gravità. La SSRF è un attacco che induce un server a inviare richieste verso un indirizzo scelto dall'aggressore.
ACN ने Wazuh के बारे में क्या रिपोर्ट किया?
The alert AL02/261109/CSIRT-ITA riguarda 8 vulnerabilità con PoC resi pubblici. Le tipologie elencate sono esecuzione di codice arbitrario, bypass dell'autenticazione, bypass delle restrizioni di sicurezza, divulgazione di informazioni, denial of service e spoofing.
Nella tabella dell'agenzia tutte le falle risultano con PoC presente, mentre per lo sfruttamento attivo non c'è alcuna indicazione. L'alert è alla versione 1.0.
Wazuh की कौन-सी संस्करण असुरक्षित हैं?
ACN के अनुसार Wazuh के 4.14.9 से पहले के संस्करण और 4.9.0 से लेकर 4.14.9 से पहले तक के Wazuh Dashboard Plugins प्रभावित हैं। सुझाया गया उपाय है कि आप जल्द से जल्द नवीनतम उपलब्ध संस्करण पर अपडेट करें।
एजेंसी के मुताबिक़ विक्रेता ने दोषों को पहले ही ठीक कर दिया है। इसलिए जोखिम मुख्य रूप से उन पर है जिन्होंने अभी तक अपडेट लागू नहीं किया है।
सबसे गंभीर खामियाँ कौन-सी हैं?
सबसे ऊपर CVE-2026-112340 है, जिसका CVSS v4.0 स्कोर 8.8 है। यह Dashboard Plugins के /api/request एंडपॉइंट से जुड़ा है। एक प्रमाणित उपयोगकर्ता Bearer token को बदलकर Manager API में किसी दूसरी पहचान के रूप में काम कर सकता है।
इसके बाद CVE-2026-112339 (8.2) आता है, जो fluent-forward मॉड्यूल में TLS hostname की जाँच न होने से जुड़ा है, और CVE-2026-112338 (8.2), जो GitHub मॉड्यूल में SSRF है। पहले मामले में नेटवर्क पर बीच में मौजूद हमलावर Fluentd collector का रूप धारण करके टेलीमेट्री पढ़ सकता है। दूसरे मामले में Manager GitHub token को हमलावर के नियंत्रित होस्ट पर भेज सकता है।
पाँच उच्च जोखिम वाली CVE को पूरा करते हैं CVE-2026-112341 और CVE-2026-112336, दोनों 7.1 पर।
बाकी कमज़ोरियों से सिस्टम पर क्या जोखिम है?
CVE-2026-112341 एक SQL Injection है। agent पर कम से कम एक agent के लिए read अनुमति वाला उपयोगकर्ता मनमानी क्वेरी चला सकता है और Manager के डेटाबेस का डेटा पढ़ सकता है, जिसमें agents की internal_key भी शामिल है। CVE-2026-112336 JSON decoder में memory leak है। पंजीकृत agent से आए ऐसे इवेंट, जिनमें स्थिर फ़ील्ड दोहराए गए हों, wazuh-analysisd को रोक सकते हैं और alerts बनना बंद हो सकता है।
बाकी तीन के स्कोर 6.3 से 6.9 के बीच हैं।
- CVE-2026-112334, wazuh-execd में सीमा से बाहर लिखना, जिससे Active Response रुक सकता है।
- CVE-2026-112335, logcollector में stack buffer overflow, जिसमें कुछ विशेष कॉन्फ़िगरेशन में कोड चलाया जा सकता है।
- CVE-2026-112337, Azure मॉड्यूल में SSRF, जिसमें Microsoft Graph token जोखिम में है।
सीमाएँ जो जानना ज़रूरी है
L'alert non indica sfruttamento attivo, e la colonna dedicata resta vuota. Non sappiamo quanti sistemi italiani siano esposti né da quando i PoC circolano. Molti attacchi richiedono condizioni precise, come un utente autenticato, il controllo di un file di log o una posizione di rete privilegiata. Alcuni identificativi CVE potrebbero ricevere aggiornamenti dai database ufficiali.
डिजिटल काम करने वालों के लिए क्या बदलता है
Se gestisci Wazuh, controlla subito la versione di Manager e Dashboard Plugins. Anche chi ha il servizio su un server in hosting deve sapere chi si occupa degli aggiornamenti, e una gestione dei server con aggiornamenti di sicurezza serve proprio a questo. Il rischio riguarda anche i token collegati, come quelli di GitHub e Azure, che vanno trattati come credenziali da proteggere. Non è la prima segnalazione recente su strumenti tecnici, come mostra il caso di Apache OFBiz.
हमारी राय
Colpisce che il bersaglio sia uno strumento nato per difendere. Un SIEM vede log, credenziali e telemetria di tutta l'infrastruttura, quindi una sua falla vale più di quella di un'applicazione qualunque. Il vendor ha corretto e l'ACN ha avvisato in modo chiaro, ma l'open source non esime dall'aggiornare. Chi l'adotta in azienda deve mettere in conto la manutenzione, come ricorda la guida su open source in azienda.
अक्सर पूछे जाने वाले प्रश्न
Wazuh è sotto attacco attivo?
L'alert dell'ACN non l'indica. La colonna dello sfruttamento riporta un trattino per tutte le CVE, mentre i PoC risultano presenti.
Quale versione di Wazuh devo installare?
Almeno la 4.14.9. Sono vulnerabili le versioni di Wazuh precedenti e i Dashboard Plugins dalla 4.9.0 alla 4.14.9 esclusa.
Quante sono le vulnerabilità e quanto sono gravi?
Sono 8, di cui 5 di gravità alta. Il punteggio CVSS v4.0 più alto è 8.8, quello più basso 6.3.
Serve essere autenticati per sfruttarle?
Dipende dalla falla. Alcune richiedono un utente autenticato o un agent registrato, altre un attaccante in posizione di rete privilegiata o con accesso a file monitorati.
Cosa rischiano i token di GitHub e Azure?
Due SSRF potrebbero far inviare al Manager i token verso host controllati dall'attaccante. Secondo l'ACN ciò consentirebbe l'accesso a repository GitHub o a risorse Microsoft Graph collegate.
Cosa guardare dopo l'aggiornamento di Wazuh
Aggiornare chiude le falle note, ma i PoC pubblici restano disponibili e possono essere adattati. Nelle prossime settimane conviene controllare cosa è accaduto nel frattempo.
- Verifica nei log del Manager richieste anomale verso host esterni o riavvii imprevisti di wazuh-analysisd.
- Controlla se l'ACN aggiorna l'alert con indicazioni di sfruttamento attivo.
- Valuta la rotazione dei token GitHub e Azure collegati ai moduli di Wazuh, se i sistemi sono rimasti non aggiornati.
