L'agenzia statunitense per la cybersicurezza CISA ha aggiunto al proprio catalogo delle vulnerabilità sfruttate attivamente (Known Exploited Vulnerabilities) quattro nuove falle che riguardano dispositivi di rete e console seriali molto diffusi: tre in Ubiquiti UniFi OS e una in Lantronix EDS5000. In tutti i casi si parla di vulnerabilità che permettono, in varie combinazioni, di iniettare ed eseguire comandi arbitrari sui dispositivi colpiti, con privilegi elevati. La conferma dello sfruttamento in rete trasforma queste falle da rischio teorico a emergenza operativa per chiunque abbia questi apparati esposti su Internet.
Ubiquiti UniFi OS: tre falle che si concatenano
Le tre vulnerabilità di UniFi OS, identificate come CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, sono particolarmente insidiose perché possono essere sfruttate in sequenza. La prima è un aggiramento dei controlli di accesso che consente a un attaccante non autenticato di apportare modifiche non autorizzate al sistema. La seconda è una vulnerabilità di tipo path traversal che apre la strada alla lettura di file sensibili del sistema operativo sottostante, comprese configurazioni e credenziali. La terza è una falla di validazione dell'input che permette di iniettare ed eseguire comandi del sistema operativo.
Le società di sicurezza Defused e Bishop Fox hanno osservato attaccanti che concatenano le tre falle in un'unica catena di sfruttamento, ottenendo l'esecuzione di codice da remoto per distribuire malware. Bishop Fox ha inoltre pubblicato un proof of concept che dimostra come la combinazione porti al controllo completo del dispositivo. Ubiquiti ha corretto i problemi nella versione 5.0.8 di UniFi OS Server: l'aggiornamento è già disponibile.
Lantronix EDS5000: comando root senza credenziali
Il caso Lantronix è altrettanto serio. La vulnerabilità CVE-2025-67038, con punteggio CVSS pari a 9,8, colpisce i console server seriali-su-IP della serie EDS5000. Il difetto nasce dal modulo HTTP RPC, che non depura il parametro relativo al nome utente prima di inserirlo in un comando di shell usato per registrare i tentativi di autenticazione falliti. Il risultato è una command injection non autenticata: un attaccante con accesso di rete, ma privo di credenziali valide, può eseguire comandi sul dispositivo con i privilegi di root.
La falla era stata divulgata ad aprile 2026 dai ricercatori di Forescout Vedere Labs nell'ambito della ricerca "BRIDGE:BREAK", che ha messo in luce decine di problemi su apparati Lantronix e Silex. Particolarmente preoccupante è la tempistica dello sfruttamento: l'attività malevola è stata osservata su un honeypot già il 5 aprile, dopo il rilascio della patch ma prima della pubblicazione dei dettagli tecnici. Un indizio che suggerisce come gli attaccanti abbiano analizzato a ritroso la correzione per ricostruire l'exploit. Lantronix ha distribuito il fix nel firmware 2.2.0.0R1.
Perché conta e cosa fare
Questi dispositivi rappresentano un bersaglio prezioso: i console server seriali come gli EDS5000 sono spesso usati per gestire infrastrutture industriali e di rete, mentre gli apparati UniFi sono il cuore di molte reti aziendali e domestiche. In entrambi i casi la compromissione offre un punto d'appoggio profondo all'interno dell'infrastruttura. Per le agenzie federali statunitensi, la direttiva BOD impone l'applicazione delle correzioni entro pochi giorni, ma la stessa urgenza vale per qualsiasi organizzazione. La raccomandazione è chiara: aggiornare immediatamente i firmware, rimuovere dall'esposizione diretta su Internet le interfacce di gestione e verificare i log alla ricerca di accessi o comandi sospetti, trattando come potenzialmente compromessi i dispositivi che non sono stati aggiornati per tempo.
