home / blog
2026-11-03 · critica
CVE-2025-32433: RCE non autenticato in Erlang/OTP SSH
Erlang/OTP SSH RCE critica (CVSS 10,0) senza autenticazione. Patch subito disponibili per tre versioni.
La CVE-2025-32433 riguarda una falla nel meccanismo di gestione dei messaggi del protocollo SSH in Erlang/OTP. Un attaccante non autenticato può sfruttarla per eseguire codice arbitrario sui sistemi colpiti. Erlang/OTP è una piattaforma software ampiamente usata per applicazioni distribuite e di telecomunicazioni; il suo server SSH è presente in molti ambienti aziendali.
Il CVSS della vulnerabilità è 10,0 (criticità massima). La falla è stata pubblicata da NVD il 16 aprile 2025 e interessava le versioni OTP-27.3.3, OTP-26.2.5.11 e OTP-25.3.2.20. Segnali da repository GitHub pubblici, aggiornati al 3 novembre 2026, indicano che il tema continua a generare interesse della comunità di ricerca sulla sicurezza.
La priorità immediata è aggiornare Erlang/OTP alle versioni patched. In attesa della patch, disabilitare il server SSH o limitare l'accesso tramite regole firewall per ridurre la superficie di attacco. Verificare log di accesso SSH per rilevare tentativi sospetti. Consultare i responsabili infrastruttura per identificare sistemi esposti.
In sintesi
- Cosa
- Falla nel protocollo SSH di Erlang/OTP che consente esecuzione di codice remoto non autenticato (CVE-2025-32433)
- Gravità
- CVSS 10,0, critical
- Versioni interessate
- OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20 e versioni precedenti
- Correzione
- Aggiornare a versioni patched: OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20 o successive
- Stato
- Vulnerabilità confermata (pubblicata NVD 16 aprile 2025); segnali GitHub odierni indicano interesse attivo
- Azione
- Priorità massima: inventariare sistemi con Erlang/OTP SSH; applicare patch; se non possibile, disabilitare SSH o limitare accesso via firewall
Fonti: NVD, CVE-2025-32433