CVE-2026-103409: Session Smart Router senza autenticazione

Il CVE-2026-103409 descrive una vulnerabilità di autenticazione mancante nel Juniper Networks Session Smart Router. Un attaccante non autenticato basato su rete può ottenere privilegi amministrativi passando parametri URL artigianali a un endpoint insicuro che opera con privilegi root. La vulnerabilità rappresenta un rischio immediato per i router non ancora onboarded a Mist/Conductor.

Il CVSS riportato è 9,8 con gravità critical. La vulnerabilità è stata pubblicata su NVD il 28 ottobre 2026. Sono presenti segnali su social nei ultimi giorni, con post che confermano il punteggio CVSS e l'accesso amministrativo. Una caratteristica cruciale: la falla non è sfruttabile una volta che il dispositivo è onboarded a Mist/Conductor, il che crea una finestra temporale limitata ma critica.

Per i difensori: identificare immediatamente quali Session Smart Router in azienda non sono ancora onboarded a Mist/Conductor e dare priorità alla loro configurazione. Verificare in logs se l'endpoint insicuro è stato accesso prima del 28 ottobre 2026. Monitorare le modifiche di configurazione nei router interessati. Contattare Juniper per informazioni su patch o mitigazioni se il vostro ambiente richiede dispositivi in questa condizione.