USN-8890-1: otto falle in libsoup, da DoS a possibile esecuzione di codice

Ubuntu ha pubblicato il 6 ottobre 2026 l'avviso USN-8890-1, che corregge otto vulnerabilità in libsoup2.4 e libsoup3, le librerie HTTP client/server usate da GNOME e da tutto ciò che vi si appoggia. Per chi gestisce desktop Ubuntu o server con componenti grafici o servizi che usano libsoup, è un aggiornamento da pianificare subito, non da rimandare alla prossima finestra di manutenzione.

Le falle più rilevanti

La più seria è CVE-2026-85197: una gestione scorretta di certe connessioni HTTP/2 che un attaccante remoto potrebbe sfruttare per ottenere informazioni sensibili o eseguire codice arbitrario. Colpisce Ubuntu 22.04 LTS, 24.04 LTS e 26.04 LTS.

Le altre sette falle vanno dal denial of service (CVE-2026-4271 su richieste HTTP/2, CVE-2026-85534 su trasferimenti HTTP/2, CVE-2026-77014 e CVE-2026-77680 su header HTTP Range) alla divulgazione di informazioni (CVE-2026-5119 su connessioni proxy HTTPS, CVE-2026-66339 su credenziali di autenticazione proxy) fino al bypass di controlli di sicurezza (CVE-2026-6324 su richieste HTTP chunked malformate).

Versioni corrette

Release	Pacchetto	Versione corretta
26.04 LTS (resolute)	libsoup-3.0-0	3.6.6-1ubuntu0.1
26.04 LTS (resolute)	libsoup-2.4-1	2.74.3-10.1ubuntu5+esm3 (Ubuntu Pro ESM Apps)
24.04 LTS (noble)	libsoup-3.0-0	3.4.4-5ubuntu0.9
24.04 LTS (noble)	libsoup-2.4-1	2.74.3-6ubuntu1.9
22.04 LTS (jammy)	libsoup-3.0-0	3.0.7-0ubuntu1+esm9 (Ubuntu Pro ESM Apps)
22.04 LTS (jammy)	libsoup2.4-1	2.74.2-3ubuntu0.9
20.04 LTS (focal)	libsoup2.4-1	2.70.0-1ubuntu0.5+esm4 (Ubuntu Pro)
18.04 LTS (bionic)	libsoup2.4-1	2.62.1-1ubuntu0.4+esm9 (Ubuntu Pro)
16.04 LTS (xenial)	libsoup2.4-1	2.52.2-1ubuntu0.3+esm8 (Ubuntu Pro Legacy Support)

Su 26.04 LTS e 22.04 LTS i pacchetti libsoup2.4 e libsoup-3.0 di jammy richiedono un abbonamento Ubuntu Pro via ESM Apps per ricevere la patch; su focal, bionic e xenial serve Ubuntu Pro per tutte le versioni corrette del pacchetto.

Come aggiornare

Su sistemi con repository standard basta un aggiornamento di sistema:

sudo apt update && sudo apt upgrade

Dove serve ESM Apps o Ubuntu Pro, va verificato lo stato dell'abbonamento con pro status prima di procedere.

Fonte: avviso ufficiale Ubuntu Security Notices, USN-8890-1, pubblicato il 6 ottobre 2026.