Vulnerabilità · 116 giorni fa
Il punto non è solo che ClamAV ha corretto sette bug. Il punto è che il motore che si fida dei file per ispezionarli può essere fatto inciampare da un file costruito ad arte, e così trascinare il rischio di parsing dentro gateway, filtri di upload e agent di endpoint che lo considerano un controllo di fiducia.
Le versioni 1.5.3 e 1.4.5 chiudono sette CVE nei parser per packer, archivi e DMG. Tra i bug corretti ci sono errori di memory corruption nei percorsi PE e 7z, un problema che risale al codice del 2004 e uno del 2005; il fix include anche un hardening della quarantena contro race condition TOCTOU.
Per chi usa ClamAV direttamente o dentro pacchetti Cisco, il messaggio operativo resta semplice: non basta aggiornare il motore antivirus, perché il percorso di ispezione dei file è già un bersaglio in sé. Anche un controllo nato per difendere può diventare il punto in cui un allegato o un archivio fa crashare la scansione o apre una memoria corrotta.
CVE in questo aggiornamento
7 CVE
Distribuite tra Cisco Secure Endpoint, clamav, azl3 clamav 1.5.2-3 on Azure Linux 3.0.
0 critiche · 7 alte · 0 medie · 0 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-20213 · 7.5 HIGH
3 fonti che coprono questa storia
New ClamAV security patch closes seven scanner bugs dating back two decades - Help Net Security
The ClamAV security patch ships versions 1.5.3 and 1.4.5, fixing seven CVEs in packer, archive, and DMG parsers dating back two decades.
Risolte vulnerabilità in ClamAV
Rilasciato un aggiornamento di sicurezza che mira a sanare sette vulnerabilità, con gravità “alta”, relativamente al prodotto ClamAV di Cisco.
Cisco Security Advisory: ClamAV Vulnerabilities Affecting Cisco Products: July 2026
For additional information on these vulnerabilities in ClamAV, see the ClamAV blog.
Part of the PlainSec briefing for 2026-07-06