Ing. Calogero Bono
Lo CSIRT Italia, la struttura dell'Agenzia per la cybersicurezza nazionale, ha rilevato lo sfruttamento attivo in rete della CVE-2026-90436 in Apache Axis 1.x. La falla permette a un attaccante remoto di eseguire codice sui sistemi interessati e ha un punteggio di 9.8. Un PoC, cioè un codice dimostrativo, è già disponibile. Il punto delicato è che il prodotto è a fine supporto e il vendor non rilascerà aggiornamenti.
Qualche termine, prima di entrare nei fatti. Apache Axis è un framework open source per creare servizi web basati su SOAP. SOAP è un protocollo per scambiare messaggi strutturati tra applicazioni. Deserializzazione è il passaggio che ricostruisce un oggetto a partire dai dati ricevuti. RCE sta per Remote Code Execution, l'esecuzione di codice da remoto. EoL indica la fine del supporto, dopo la quale non escono più correzioni.
Cosa ha segnalato l'ACN su Apache Axis?
Nell'alert AL02/261113/CSIRT-ITA, pubblicato il 13 novembre 2026, lo CSIRT Italia parla di sfruttamento attivo della CVE-2026-90436. Esiste anche un Proof of Concept, che abbassa la soglia per chi vuole provare l'attacco.
La tipologia è Remote Code Execution e il punteggio CVSS 3.1 è 9.8. Per l'ACN la falla potrebbe consentire a un utente malintenzionato remoto di eseguire codice arbitrario.
Come funziona la falla nella deserializzazione SOAP?
Secondo l'ACN il problema nasce dalla deserializzazione non sicura dei messaggi di errore SOAP in ingresso. Il sistema carica e istanzia classi arbitrarie indicate dall'utente prima di verificarne la validità.
Un attaccante non autenticato potrebbe quindi inviare richieste SOAP costruite ad hoc. L'esecuzione di codice richiede però la presenza di classi idonee all'abuso, come precisa l'alert. Non serve alcun accesso preventivo.
Quali versioni sono coinvolte?
L'alert indica Apache Axis 1.x, tutte le versioni. Non c'è quindi una release da evitare e una sicura, il ramo intero è interessato.
La nota dell'ACN è chiara. Il vendor non rilascerà alcun aggiornamento perché il prodotto ha raggiunto la data di fine supporto. È una situazione diversa dai casi in cui basta installare l'ultima versione, come nella vicenda di Apache HTTP Server e mod_http2.
Cosa si può fare se non esiste un aggiornamento?
La raccomandazione dell'ACN, in linea con il vendor, è pianificare la migrazione a un prodotto alternativo ancora supportato, come Apache Axis 2.
Se la migrazione non è possibile subito, il vendor ha reso disponibile una patch correttiva da applicare a mano, seguendo il bollettino di sicurezza indicato tra i riferimenti dell'alert. È una soluzione tampone, non un ritorno al supporto.
Limiti da conoscere
L'alert non indica chi stia sfruttando la falla, quanti sistemi siano stati colpiti né quali classi servano per l'abuso. Non sappiamo nemmeno quanti servizi italiani usino ancora Axis 1.x. Il nome del bollettino con la patch manuale non è riportato nel testo che abbiamo a disposizione. Il quadro potrebbe cambiare se emergessero nuove catene di sfruttamento.
Cosa cambia per chi lavora con il digitale
Se hai applicazioni che espongono servizi SOAP, verifica se dietro ci sia Axis 1.x. Spesso il componente è dentro software datato che nessuno tocca da anni, quindi controlla gli inventari e le dipendenze. Chi gestisce server per clienti deve trattare il caso come urgente, anche per hosting e server gestiti dove gira codice ereditato. Una falla senza correzione ufficiale obbliga a decidere tra patch manuale e riscrittura. Per i software su misura vale lo stesso ragionamento, e l'esperienza di Apache OFBiz mostra quanto pesi la manutenzione.
Il nostro parere
Il caso mostra il costo nascosto delle dipendenze dimenticate. Un framework a fine supporto continua a funzionare, e proprio per questo resta dov'è finché qualcuno non l'attacca. La combinazione di PoC pubblico, nessun attacco da autenticare e nessun aggiornamento ufficiale è la peggiore possibile. La patch manuale va bene come ponte, ma chi la considera definitiva sposta solo il problema. Conviene inserire la fine supporto tra i criteri di rischio, accanto ai punteggi CVSS.
Domande frequenti
La CVE-2026-90436 è già sfruttata?
Sì, secondo lo CSIRT Italia è stato rilevato lo sfruttamento attivo in rete. Esiste anche un Proof of Concept.
Quali versioni di Apache Axis sono vulnerabili?
Tutte le versioni di Apache Axis 1.x. Il vendor non rilascerà aggiornamenti perché il prodotto è a fine supporto.
Serve autenticarsi per sfruttare la falla?
No, l'ACN parla di attaccante remoto non autenticato. Bastano richieste SOAP opportunamente predisposte, in presenza di classi idonee all'abuso.
Cosa raccomanda l'ACN?
Pianificare la migrazione a un prodotto supportato, come Apache Axis 2. In alternativa si può applicare manualmente la patch del vendor descritta nel bollettino.
Quanto è grave la vulnerabilità?
Il punteggio CVSS 3.1 è 9.8, quasi il massimo. La tipologia è Remote Code Execution.
Axis 1.x, cosa controllare nelle prossime settimane
La vulnerabilità è già in uso e la correzione ufficiale non arriverà. Contano i tempi con cui chiudi l'esposizione.
- Segui gli aggiornamenti dello CSIRT Italia sull'alert, in caso di revisioni o nuovi dettagli.
- Fissa una data per la migrazione e assegna un responsabile, anche per i servizi poco usati.
- Tieni un elenco dei componenti a fine supporto nei tuoi progetti, come fai per i certificati in scadenza.
