Adobe Experience Manager corregge un varco di scrittura senza login
Il punto non è la somma delle CVE. È che Adobe Experience Manager espone due classi di errore che rompono fiducia e confini interni: una scrittura che non richiede autenticazione e una SSRF che può portare il server a farsi intermediario verso risorse che l’attaccante non dovrebbe raggiungere direttamente. Per chi gestisce CMS esposti su Internet, il problema è il controllo dei contenuti e l’accesso ai servizi dietro la superficie pubblica.
NCSC-2026-0246 segnala che Adobe ha corretto più vulnerabilità in Experience Manager, tra cui missing authentication, SSRF, XSS, path traversal, XXE e request smuggling. Le due più rilevanti per l’operatività sono la scrittura non autorizzata senza interazione e la SSRF, che può aprire la strada a code execution e all’accesso a account o sessioni raggiungibili dal server AEM. Al momento non risulta sfruttamento attivo confermato.
Il quadro resta quindi da verifica patch, non da risposta a incidente. Per chi usa AEM come punto di pubblicazione e come ponte verso back-end e integrazioni, la domanda non è solo se la patch sia installata, ma se il server abbia già consentito scritture o richieste interne prima della correzione.