Patch della settimana: RCE critica su Bricksforge, Apache, OpenSSH e curl su Ubuntu

Chi gestisce siti WordPress e server Ubuntu ha avuto una settimana densa, dal 13 al 19 ottobre 2026. La falla più grave riguarda un plugin per Bricks, il builder visuale per WordPress; sul fronte sistema operativo, Canonical ha pubblicato quattro avvisi di sicurezza (USN) per pacchetti che girano su praticamente ogni server di hosting: curl, Apache, Bind, OpenSSH.

WordPress: Bricksforge sotto attacco attivo

La vulnerabilità più critica della settimana è CVE-2026-85097, CVSS 10.0, nel plugin Bricksforge. La falla permette ad attaccanti non autenticati di caricare ed eseguire codice PHP arbitrario su siti WordPress vulnerabili, con conseguente esecuzione di codice da remoto; colpisce le versioni fino alla 3.1.8.9 incluse, patchate nella 3.1.8.10.

Secondo Patchstack, gli sfruttamenti della falla sono stati rilevati a partire dal 7 ottobre 2026, alle 21:47 UTC, quindi prima ancora della pubblicazione della patch. Wordfence ha descritto il vettore tecnico: la falla nasce da una validazione insufficiente di un campo URL nel parametro 'temporaryFileUploads' durante l'invio di un form, e un attaccante può ottenere un nonce valido tramite l'endpoint AJAX bricksforge_regenerate_nonce per poi caricare un file polyglot GIF/PHP. Comando per chi gestisce i siti via WP-CLI: wp plugin update bricksforge --version=3.1.8.10.

Altre vulnerabilità WordPress segnalate nella settimana, tutte via Wordfence/Patchstack:

CVE	Plugin	Versione vulnerabile	Pubblicazione
CVE-2026-93767	Tainacan	fino alla 1.3.0	16 ottobre
CVE-2026-104003	ProfilePress	fino alla 4.17.5	16 ottobre
CVE-2026-92978	User Registration & Membership	fino alla 5.2.8	16-17 ottobre
CVE-2026-100316	European VAT Compliance Assistant for WooCommerce	fino alla 1.36.10	17 ottobre
CVE-2026-110253	weForms	fino alla 1.6.28, fix 1.6.29	17 ottobre

Per Tainacan si tratta di path traversal autenticato (ruolo Subscriber+) che consente la lettura di file arbitrari tramite il parametro 'guid'. Per weForms, attaccanti non autenticati possono cancellare file multimediali arbitrari, con fix disponibile in versione 1.6.29 secondo il repository ufficiale del plugin.

Ubuntu: quattro USN il 14 ottobre

Canonical ha pubblicato il 14 ottobre quattro Ubuntu Security Notices che riguardano software presente su gran parte dei server di produzione:

• USN-8932-1 (curl): pubblicato il 14 ottobre, copre Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS e 14.04 LTS, con CVE-2026-92388, CVE-2026-92389, CVE-2026-87864 e altre sei.
• USN-8931-1 (Apache HTTP Server): pubblicato il 14 ottobre, CVE-2026-73637, CVE-2026-63292, CVE-2026-93546 e altre sei.
• USN-8929-1 (Bind): pubblicato il 14 ottobre, copre Ubuntu 26.04, 24.04, 22.04, 20.04, 18.04, 16.04 e 14.04 LTS, con 24 CVE totali.
• USN-8928-1 (OpenSSH): pubblicato il 14 ottobre, copre Ubuntu 26.04 LTS, 24.04 LTS e 22.04 LTS, con CVE-2026-106552, CVE-2026-106553, CVE-2026-106585 e altre sei.

Il 15 ottobre sono seguiti USN-8933-1 (RabbitMQ Server), USN-8922-2 (Linux kernel Azure) e USN-8883-2 (Go); quest'ultimo interessa Ubuntu 22.04 LTS con CVE-2026-39821, che potrebbe consentire accesso non previsto a servizi di rete.

Per tutti questi pacchetti il comando resta lo stesso su ogni versione Ubuntu supportata:

sudo apt update && sudo apt upgrade

Le versioni esatte dei pacchetti corretti, specifiche per ogni release Ubuntu, sono riportate nella sezione "Update instructions" di ciascun avviso su ubuntu.com/security/notices. Per i pacchetti kernel (come nel caso Azure) è necessario il riavvio del sistema dopo l'aggiornamento.

Cosa controllare entro oggi

Chi ha Bricksforge installato deve aggiornare subito alla 3.1.8.10: la falla è sfruttata attivamente. Su Ubuntu, priorità a OpenSSH e Apache se esposti su interfacce pubbliche: sono i servizi più direttamente raggiungibili da un attaccante remoto.