Squidbleed espone dati tra utenti nello stesso proxy
In un proxy condiviso, il problema non è il crash: una richiesta può riportare in superficie pezzi della richiesta HTTP di un altro utente già passata da lì. Se il parser legge oltre il proprio buffer, la memoria riusa e conserva dati che in un ambiente multi-tenant non dovrebbero più esistere.
Calif.io ha divulgato CVE-2026-47729 in Squid Proxy, una falla presente dal 1997 nel parser FTP. Il rischio più alto riguarda scuole, reti aziendali e Wi‑Fi pubblici che instradano più utenti sulla stessa istanza, con esposizione di credenziali, session token e API key da traffico HTTP in chiaro; la correzione è già stata integrata in Squid 8 e rilasciata in 7.6 a giugno 2026.
Il quadro cambia poco per chi usa solo HTTPS come tunnel opaco, ma resta aperto per chi lascia passare FTP o HTTP in chiaro. In questi ambienti, il punto da verificare non è solo la patch, ma se il proxy continua a fungere da contenitore condiviso di segreti altrui.