Patch della settimana: kernel Ubuntu, libxml2 e falla critica in WordPress core

Rassegna di lunedì 12 ottobre 2026: cosa è uscito nell'ultima settimana su ubuntu.com/security/notices e sul database Patchstack, e cosa va lanciato subito su chi tiene server in produzione.

Ubuntu: libxml2, libarchive e kernel

USN-8910-1 (8 ottobre 2026) corregge diverse vulnerabilità in libxml2, su Ubuntu 26.04, 24.04, 22.04, 20.04, 18.04, 16.04 e 14.04 LTS, con CVE-2026-86144, CVE-2026-86142, CVE-2026-76781 e altre 3. Comando: sudo apt update && sudo apt install --only-upgrade libxml2. Non serve riavviare la macchina, ma vanno riavviati i processi che hanno la libreria in memoria (es. systemctl restart apache2 nginx).

Stesso giorno, USN-8909-1 chiude un bug di libde265 che "poteva essere fatto crashare se riceveva input appositamente predisposto" (CVE-2026-88373, release da 26.04 a 16.04 LTS). USN-8907-1 corregge libgit2, che "poteva essere fatto esporre informazioni sensibili sulla rete" (CVE-2026-53583, solo 26.04 e 24.04 LTS). USN-8902-1 riguarda libarchive, che "poteva essere fatto crashare o eseguire programmi come il proprio login se apriva un file appositamente predisposto" (CVE-2026-16517, su 26.04, 24.04, 22.04 LTS). Per tutti e tre: sudo apt install --only-upgrade <pacchetto>, nessun riavvio di sistema.

Sul fronte kernel, USN-8906-1 dell'8 ottobre 2026 corregge diversi problemi di sicurezza nel kernel Linux (variante IBM) per Ubuntu 22.04 LTS, con l'aggiornamento a linux-image-6.8.0-1066-ibm alla versione 6.8.0-1066.67~22.04.1. Tra i difetti corretti, alcuni processori Arm potevano completare un'invalidazione broadcast del TLB prima che le scritture in memoria fossero osservate globalmente, permettendo a un aggressore locale di scrivere in memoria dopo la revoca del permesso (CVE-2025-10263). Stesso giorno USN-8903-1 interviene sul kernel generico per Ubuntu 24.04 e 22.04 LTS. In entrambi i casi: sudo apt update && sudo apt full-upgrade, poi riavvio obbligatorio.

Da segnalare anche USN-8900-1 del 7 ottobre 2026 su Go Networking per Ubuntu 22.04 LTS, dove un ricercatore ha scoperto che il pacchetto interpretava male i tag in contenuti esterni con attributi non quotati terminanti con una barra, causando contenuto posizionato nello scope sbagliato durante la costruzione del DOM (CVE-2025-22872), oltre a un bug di parsing quadratico (CVE-2025-47911) e un loop infinito (CVE-2025-58190) che portano a denial of service, e un bypass di controllo accessi tramite Punycode (CVE-2026-39821). Chi compila binari Go che usano questo pacchetto deve ricompilarli dopo l'aggiornamento.

WordPress: 7.1.3 e la falla ancora attiva

WordPress 7.1.3 è uscita il 6 ottobre 2026. È una release di manutenzione e sicurezza con sette correzioni di sicurezza e quattro bug fix, con backport fino alle release del ramo 6.6; al momento della pubblicazione dell'articolo Patchstack i rami 4.7-6.5 non erano ancora corretti. Comando via WP-CLI: wp core update && wp core update-db.

Resta da chiudere, per chi non l'ha ancora fatto, la CVE-2026-87902, un path traversal che porta a local file inclusion e, in certe configurazioni PHP, a RCE condizionale, con CVSS 9.2, nessuna autenticazione richiesta, che colpisce le versioni da 4.7.0 a 7.1.1. Se non è stato ancora aggiornato, WordPress 7.1.2 o la release corretta sul proprio ramo resta la soluzione, ed è ormai urgente.

Plugin da controllare

Dal database Patchstack, aggiornato al 10 ottobre 2026:

Plugin	Versione interessata	Tipo	Priority score	Disclosure
Request a Quote for WooCommerce	<= 2.9.2	Upload file arbitrario non autenticato	10	~9 ottobre 2026
Elementor Website Builder	4.3.0-4.3.1	CSRF	8.8	~6 ottobre 2026
Contact Form by WPForms	<= 2.0.2	XSS riflesso	7.1	~6 ottobre 2026
Bookly	<= 28.2	IDOR (disclosure/cancellazione token prenotazione)	6.5	~6 ottobre 2026

Da monitorare anche il plugin Bricksforge: l'8 ottobre 2026 Patchstack ha pubblicato un avviso su una vulnerabilità critica di upload file arbitrario non autenticato, sfruttata attivamente. Chi lo usa controlli subito la versione installata nel pannello plugin e applichi l'ultimo aggiornamento disponibile.

Fonti: ubuntu.com/security/notices, patchstack.com/articles, patchstack.com/database/statistics/wordpress/2026.