CVE-2026-105014: Command Injection in Azure Pipelines

Command injection in Azure Pipelines (CVSS 9,1): esecuzione remota di codice su agenti di pipeline.

CVE-2026-105014 riguarda una vulnerabilità di command injection in Azure Pipelines. La falla consente a un attaccante non autorizzato di eseguire codice remoto sugli agenti di pipeline, compromettendo l'intera catena di integrazione e deployment. Azure Pipelines è il cuore dei sistemi di CI/CD di migliaia di aziende: una falla qui colpisce direttamente la sicurezza delle infrastrutture DevOps e dei processi di software delivery.

Il punteggio CVSS è 9,1 e la gravità è dichiarata critical: esecuzione remota di codice senza autenticazione è una delle minacce più gravi per le infrastrutture moderne. La vulnerabilità è stata pubblicata il 22 ottobre 2026. Un segnale significativo proviene dalla comunità security: il 28 ottobre è apparso uno strumento di detection pubblico (detector Python con inventari CSV/JSON auditable) che documenta la presenza di vulnerabilità applicabili negli ambienti. Questo segnale indica che la falla è già sotto scrutinio attivo.

Per i difensori: verificare immediatamente la versione di Azure Pipelines in uso. Consultate gli advisory ufficiali di Microsoft per versioni interessate e patch. Monitorare i log dei pipeline per attività anomale: la command injection lascerà tracce. Limitare i permessi degli account di servizio al minimo privilegio e implementare restrizioni di accesso. Se usate Azure Pipelines in produzione, l'aggiornamento è prioritario.

In sintesi

Cosa: Command injection in Azure Pipelines che consente esecuzione remota di codice su agenti di pipeline a un attaccante non autorizzato.
Gravità: CVSS 9,1 (critical). Attacco da rete, senza autenticazione richiesta, con impatto pieno su confidenzialità, integrità e disponibilità dei sistemi CI/CD.
Versioni interessate: Non riportato nei dati ufficiali NVD. Consultare advisory Microsoft per specifiche su versioni e componenti.
Correzione: Non confermato nei dati disponibili. Verificare advisory ufficiali Microsoft per patch e istruzioni di aggiornamento.
Stato: Pubblicato NVD il 22 ottobre 2026. Segnale GitHub di detector pubblico registrato il 28 ottobre 2026; esiste strumento Python di rilevamento applicability in uso.
Azione: Verificare versione Azure Pipelines in uso, applicare patch ufficiale Microsoft immediatamente, monitorare log dei pipeline per attività anomale, limitare permessi degli account di servizio al principio del minimo privilegio.

Fonti: NVD, CVE-2026-105014

← Tutti gli articoli