CVE-2026-114550: Esecuzione di codice remoto in libwebsockets MQTT

Il CVE-2026-114550 è una vulnerabilità di out-of-bounds write nella libreria libwebsockets, ampiamente utilizzata per implementare il protocollo MQTT in ambienti web, IoT e sistemi connessi. La falla risiede nella gestione non validata dei pacchetti PUBACK (Publish Acknowledgement), che consente a un attaccante remoto di scrivere dati oltre i confini di un buffer allocato in memoria. Questo permette l'esecuzione arbitraria di codice nel contesto del processo interessato, senza richiedere credenziali di autenticazione.

La vulnerabilità è classificata come critica per la sua capacità di esecuzione remota senza autenticazione. Sebbene il punteggio CVSS non sia stato ancora pubblicato dalle autorità ufficiali, la tipologia di falla (RCE senza credenziali) la colloca nel massimo livello di gravità. L'iscrizione su NVD risale al 4 novembre 2026, e già il giorno successivo sono comparsi repository pubblici su GitHub che dichiarano di contenere exploit, indicando visibilità immediata e potenziale sfruttamento in ambienti di produzione.

Le organizzazioni che impiegano libwebsockets devono innanzitutto identificare tutte le istanze in uso, con priorità su sistemi esposti a reti non controllate. È critico monitorare costantemente gli advisory ufficiali di libwebsockets per una patch correttiva. Nel frattempo, limitare l'accesso ai servizi MQTT esclusivamente a reti fidate, applicare segmentazione e isolamento di rete, e valutare la disabilitazione temporanea di MQTT su applicazioni non essenziali per ridurre significativamente il rischio di sfruttamento.

La mancanza di una patch ufficiale al momento della pubblicazione rende questa vulnerabilità particolarmente critica per gli amministratori di sistema. Il vettore di attacco remoto combinato con l'assenza di prerequisiti di autenticazione la posizionano come priorità assoluta per chi mantiene libwebsockets in ambienti di produzione. L'assessment immediato dell'inventario e la pianificazione degli aggiornamenti sono azioni imprescindibili per ridurre il rischio di compromissione.