CVE-2026-115889: Sandbox Escape in Wasmtime

CVE-2026-115889 colpisce Wasmtime, un runtime per l'esecuzione sicura di WebAssembly in ambienti untrusted. Il compilatore backend Cranelift contiene una falla nel bit-packing degli indici SSA: in modalità release, l'overflow silenzioso durante la compilazione di funzioni Wasm particolarmente grandi o appositamente costruite causa miscompilazione, type confusion e effetti controllabili dall'attaccante. La conseguenza più grave è il bypass della sandbox WebAssembly su qualsiasi architettura che utilizza il backend Cranelift di default.

Il CVSS è 9,9 (Critical). La vulnerabilità è stata divulgata ufficialmente il 23 ottobre 2026; patch sono disponibili immediamente nelle versioni 36.0.19 e 43.0.0. A partire dal 29 ottobre 2026, è stato segnalato un detector offline pubblicamente disponibile su GitHub per rilevare l'esposizione della versione di Wasmtime. L'assenza di segnali pubblici su social media non riduce l'urgenza: una falla che permette sandbox escape in un runtime per l'esecuzione di codice rimane sempre critica per la sicurezza della supply chain.

I team IT e i CISO devono inventariare immediatamente tutte le istanze di Wasmtime negli ambienti aziendali—container, piattaforme serverless, applicazioni che eseguono WebAssembly. Applicare gli aggiornamenti a 36.0.19 o 43.0.0+ mediante i canali ufficiali il più rapidamente possibile. Monitorare i sistemi che eseguono codice Wasm per attività anomale. Se disponibili, revisionare i log del compilatore Cranelift. La tempestività tra divulgazione e applicazione della patch è il vantaggio ancora disponibile per i difensori.