USN-8954-1: Ubuntu corregge un buffer overflow in zlib su 24.04, 26.04 e 26.10

Canonical ha pubblicato il 22 ottobre 2026 l'avviso USN-8954-1, che corregge una vulnerabilità in zlib su Ubuntu 24.04 LTS, 26.04 LTS e 26.10. Chi gestisce server Ubuntu dovrebbe programmare l'aggiornamento: zlib è la libreria di compressione usata da praticamente ogni stack — PHP, nginx, Apache, OpenSSH, strumenti di backup — quindi la superficie di impatto è ampia anche se lo sfruttamento richiede condizioni specifiche.

Cosa dice l'avviso

La scheda ufficiale indica che zlib versions 1.3.1.2 through 1.3.2 contain a heap buffer overflow vulnerability in the gz_vacate() function when processing non-blocking gzwrite() operations with stale external buffer pointers. Attackers can trigger the overflow by calling gzprintf() or gzvprintf() after a write stall, causing an unchecked memmove() to write beyond the internal input buffer boundary. La falla è tracciata come CVE-2026-85091.

Il punteggio di gravità varia a seconda della fonte: NVD la classifica 7.4 High, mentre la scheda Ubuntu riporta un punteggio più alto, 8,3 High, calcolato con CVSS v4.0. Per lo sfruttamento serve un contesto applicativo specifico: il vettore di attacco più probabile è un contesto locale o integrato in cui un'applicazione può invocare l'API zlib vulnerabile; mantenere puntatori a buffer esterni obsoleti attraverso scritture non bloccanti è necessario per lo sfruttamento.

Va notato che la correzione non è arrivata subito: fino a metà settembre 2026 Ubuntu segnalava la falla come priva di patch upstream, con lo stato "fix deferred" su tutte le release supportate, in attesa che gli sviluppatori di zlib rilasciassero una correzione.

Pacchetti e versioni corrette

Release	Pacchetti interessati	Versione corretta
Ubuntu 26.10 (stonking)	zlib1g, zlib1g-dev, lib32z1, lib64z1, libx32z1 e relative -dev	1:1.3.dfsg+really1.3.2-3ubuntu1.1
Ubuntu 26.04 LTS (resolute)	zlib1g, zlib1g-dev, lib32z1, lib64z1, libx32z1 e relative -dev	1:1.3.dfsg+really1.3.1-1ubuntu3.2
Ubuntu 24.04 LTS (noble)	zlib1g, zlib1g-dev, lib32z1, lib64z1, libx32z1 e relative -dev	1:1.3.dfsg-3.1ubuntu2.3

Come aggiornare

Un normale aggiornamento di sistema applica la correzione:

sudo apt update && sudo apt upgrade

Dopo l'aggiornamento, i servizi che caricano zlib dinamicamente (quasi tutti) vanno riavviati per caricare la nuova libreria; su un server in produzione conviene pianificare un riavvio dei processi principali (web server, PHP-FPM, database) o, se non è possibile fermarli, un reboot completo nella finestra di manutenzione successiva.