CVE-2026-115893: falla critica in Wasmtime su aarch64

Wasmtime è un runtime per l'esecuzione di moduli WebAssembly. CVE-2026-115893 riguarda le versioni precedenti a 36.0.19, 48.0.7 e 49.0.4: il backend di compilazione Cranelift presenta un difetto su architettura aarch64 per cui, compilando un'istruzione br_table con più di circa 256.000 target, può generare un salto condizionale con destinazione errata. Un modulo WebAssembly malevolo può così dirottare l'esecuzione verso codice arbitrario a un offset scelto, uscendo dall'isolamento della sandbox.

CVE-2026-115893 è classificata come critica con CVSS 9,9 secondo i dati NVD, pubblicata il 23 ottobre 2026. I dati non riportano evidenze di exploit pubblico disponibile su repository né di sfruttamento attivo confermato in ambienti reali. Si registra una discussione social limitata (3 post nelle ultime 24 ore, 16 interazioni totali): un segnale di attenzione crescente ma non verificato, che non costituisce conferma tecnica indipendente della gravità o dello sfruttamento.

Per CVE-2026-115893, i responsabili IT che impiegano Wasmtime su sistemi aarch64 per eseguire moduli WebAssembly non fidati dovrebbero aggiornare immediatamente alle versioni corrette (36.0.19, 48.0.7 o 49.0.4). È opportuno verificare tramite l'inventario software quali sistemi utilizzano Wasmtime e su quale architettura, dando priorità agli ambienti aarch64 esposti a codice WebAssembly di terze parti o non fidato, e pianificare il rollout della patch come intervento ad alta priorità.