Vulnerabilità · 128 giorni fa

Joomla e LiteSpeed diventano punti di persistenza

Il punto non è più solo correggere due bug web. Su Joomla un difetto di access control sta già venendo automatizzato per caricare profili editor falsi e lasciare un backdoor persistente; su LiteSpeed un symlink gestito male può far passare un accesso da FTP o web shell a root sulla macchina condivisa. In entrambi i casi, patchare chiude l’ingresso ma non ripulisce ciò che è già stato lasciato dentro.

Le fonti confermano lo sfruttamento attivo di CVE-2026-48907 e CVE-2026-54420. JCE è colpito fino alla 2.9.99.4 e viene corretto in 2.9.99.5, con protezioni aggiuntive in 2.9.99.6; il plugin cPanel di LiteSpeed è vulnerabile prima della 2.4.8, e CISA ha inserito entrambe le falle nel catalogo KEV con scadenze già ravvicinate.

Per chi ospita siti pubblici Joomla o gestisce shared hosting, il rischio reale è la persistenza: un sito compromesso può restare sporco dopo l’update, e un account cliente può diventare root sull’intero host. La combinazione di exploit pubblici e automazione rende probabili compromissioni rapide e diffuse, non singoli incidenti isolati.

Cronologia

• 24 giu Segnalato da CSIRT Italia / ACN
• 23 giu Segnalato da The Register Security
• 19 giu Scadenza federale CISA per CVE-2026-48907 superata
• 18 giu Scadenza federale CISA per CVE-2026-54420 superata
• 17 giu Segnalato da SecurityWeek
• 16 giu Segnalato da NCSC-NL Advisories
• 16 giu Segnalato da Cisco PSIRT
• 13 giu Segnalato da FortiGuard Labs Threat Signals
• 11 giu Segnalato da Dark Reading
• 9 giu Segnalato da TechCrunch Security
• 2 giu Segnalato da CERT-EU Threat Intelligence
• 22 mag Segnalato da Microsoft Security Blog
• 21 mag Segnalato da JPCERT/CC

Fonti

21 fonti che coprono questa storia

• CSIRT Italia / ACN 24 giu

  Rilevato sfruttamento di vulnerabilità in prodotto Cisco

  Rilevato sfruttamento attivo in rete della CVE-2026-20262 presente in Cisco Catalyst SD-WAN Manager, noto software diffuso in ambienti enterprise per l’amministrazione e gestione centralizzata della rete WAN.

• The Register Security 23 giu

  Cisco SD-WAN make-me-root bug under attack

  Second Catalyst SD-WAN Manager flaw exploited as an 0-day this month

• SecurityWeek 17 giu

  Joomla, LiteSpeed Vulnerabilities Exploited in Attacks

  The flaws allow attackers to execute arbitrary PHP code and gain root privileges on shared hosting servers.

• The Hacker News 17 giu

  CISA Warns of Actively Exploited Joomla JCE Flaw Allowing PHP Code Execution

  CISA added CVE-2026-48907 in Joomla JCE to its KEV catalog after active exploitation; fixes are due by June 19.

• NCSC-NL Advisories 16 giu

  Kwetsbaarheid verholpen in Cisco Catalyst SD-WAN Manager

  Cisco heeft een kwetsbaarheid verholpen in Cisco Catalyst SD-WAN Manager. De kwetsbaarheid bevindt zich in de web user interface van Cisco Catalyst SD-WAN Manager en betreft een directory traversal flaw. Deze wordt veroorzaakt door onjuiste inputvalidatie tijdens het uploadproces van bestanden. Een geauthenticeerde aanvaller kan hierdoor willekeurige...

• Help Net Security 16 giu

  Cisco discloses second exploited SD-WAN vulnerability in two weeks (CVE-2026-20262) - Help Net Security

  Cisco disclosed another Catalyst SD-WAN Manager vulnerability (CVE-2026-20262) that its PSIRT observed being exploited by attackers.

• BleepingComputer 16 giu

  CISA warns of another cPanel plugin flaw exploited in attacks

  government agencies three days to secure their servers against an actively exploited vulnerability (CVE-2026-54420) in the LiteSpeed cPanel user-end plugin.

• CSO Online 16 giu

  Cisco patches SD-WAN flaw amid evidence of active exploitation

  Cisco’s advisory renews attention on SD-WAN management systems that control how enterprises connect sites to cloud environments and critical applications.

• The Hacker News 16 giu

  Cisco Releases Security Updates for Actively Exploited SD-WAN Manager Flaw

  Cisco patched CVE-2026-20262 in Catalyst SD-WAN Manager after limited exploitation, with federal fixes due June 29.

• SecurityWeek 16 giu

  Cisco Patches Another SD-WAN Zero-Day Exploited in Attacks

  Cisco recently became aware of the exploitation of CVE-2026-20262, a Catalyst SD-WAN Manager zero-day that allows arbitrary file write.

• The Hacker News 16 giu

  CISA Flags LiteSpeed cPanel Plugin Flaw Exploited for Root Privilege Escalation

  CISA added CVE-2026-54420 to KEV, requiring federal agencies to patch LiteSpeed cPanel root escalation by June 18, 2026.

• Cisco PSIRT 16 giu

  Cisco Security Advisory: Cisco Catalyst SD-WAN Manager Arbitrary File Write Vulnerability

  This advisory is available at the following link:https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-arbfw-c2rZvQ

Entità

• CVE-2026-48907
• CVE-2026-54420

Part of the PlainSec briefing for 2026-05-14

Editions

• Briefing for 2026-05-14

Storie correlate

• Il difetto di PraisonAI trasforma le API degli agent esposte in bersagli
• L'aggiornamento di un pacchetto npm diventa un vettore di furto di secret
• I pannelli SIMATIC HMI espongono l'accesso del browser tramite il link di aiuto