Patch della settimana: RabbitMQ, Bind, Go e tre plugin WordPress da aggiornare

Tra il 14 e il 18 ottobre 2026 sono uscite tre security notice Ubuntu che toccano pacchetti presenti su buona parte dei server in produzione: RabbitMQ, Bind e Go. A queste si aggiungono tre CVE su plugin WordPress molto diffusi. Di seguito i comandi per controllare la propria distro prima di intervenire.

RabbitMQ Server — USN-8933-1 (15 ottobre 2026)

L'avviso ufficiale copre le release 26.04, 24.04, 22.04, 20.04, 18.04 e 16.04 LTS. Tra i problemi corretti: RabbitMQ Server gestiva in modo scorretto la configurazione CORS con wildcard, sfruttabile per un attacco cross-site request forgery (CVE-2026-66070), la gestione dei DN dei certificati TLS peer nella management UI, sfruttabile per un attacco cross-site scripting (CVE-2026-66077), e un bug nel plugin trust-store che validava in modo scorretto i certificati client, utilizzabile per aggirare l'autenticazione TLS del client (CVE-2026-67231). In tutto 12 CVE, compresi DoS su WebSocket e header dei content-header.

Versioni corrette: 26.04 LTS → rabbitmq-server 4.0.5-10ubuntu5.2; 24.04 LTS → 3.12.1-1ubuntu1.7; 22.04 LTS → 3.9.27-0ubuntu0.6; 20.04, 18.04 e 16.04 LTS sono coperte solo con Ubuntu Pro attivo. Comando: apt update && apt install --only-upgrade rabbitmq-server, poi systemctl restart rabbitmq-server (il riavvio non è automatico).

Bind — USN-8929-1 (14 ottobre 2026)

Avviso più pesante della settimana: coinvolge tutte le LTS da 14.04 a 26.04, con 24 CVE elencati sulla pagina ufficiale. Tra i più rilevanti: Bind accettava in modo scorretto certi record dalle risposte, sfruttabile per un attacco di cache poisoning, solo su Ubuntu 18.04 LTS (CVE-2025-40778), e un bug sulla validazione delle deleghe insicure per cui un attaccante remoto poteva causare iterazioni NSEC3 eccessive, consumando CPU e causando un denial of service (CVE-2026-1519). Pacchetto: bind9. Comando: apt update && apt install --only-upgrade bind9, poi systemctl restart bind9. Per la build esatta sulla propria release conviene lanciare apt policy bind9 e confrontarla con la tabella sulla pagina ufficiale dell'avviso.

Go — USN-8883-2 (15 ottobre 2026)

Riguarda solo Ubuntu 22.04 LTS, pacchetto golang-1.23. È il completamento di USN-8883-1, che aveva già corretto Go 1.18, 1.21 e 1.24: CVE-2026-39821 nasce dal pacchetto x/net/idna, che gestiva male certe etichette Punycode decodificate in puro ASCII, permettendo di bypassare controlli di accesso basati su hostname. Versione corretta: golang-1.23, golang-1.23-go, golang-1.23-src → 1.23.1-1~22.04.3. Comando: apt update && apt install --only-upgrade golang-1.23 golang-1.23-go golang-1.23-src.

WordPress: tre plugin da controllare

Nella stessa settimana sono stati segnalati tre CVE su plugin diffusi: WP Data Access (CVE-2026-106470, SSRF via CSRF, versioni precedenti alla 5.5.88), Contact Form 7 Signature Addon (CVE-2026-104246, path traversal fino alla 4.2.2) e ACF Frontend Admin by DynamiApps (CVE-2026-81344, deserializzazione verso RCE fino alla 3.29.13). Prima di aggiornare al buio, verificate scheda e versione corretta su patchstack.com e su Wordfence Intelligence: per i primi due la versione patchata esatta non è ancora confermata su fonte primaria. Intanto il comando resta wp plugin update <slug> --allow-root, da lanciare dopo aver controllato la versione installata con wp plugin list.