CVE-2026-122193: command injection critica su AWS REX

Il CVE-2026-122193 identifica una vulnerabilità di OS command injection nello script di provisioning di esempio per AWS Trusted Remote Execution (REX), versione precedente al 2026-07-28. La falla risiede negli SSM document Rex-RO e Rex-RW generati da questo script: un utente autenticato remoto che dispone dei permessi per invocare questi documenti può eseguire comandi arbitrari come root sulle istanze gestite, bypassando le policy di controllo d'accesso Cedar.

La vulnerabilità ha un CVSS di 9,9 (Critico). È stata pubblicata nel database NVD il 2026-11-06 ed è generando trazione online: nei social media si contano almeno 11 post nelle ultime 24 ore che affrontano il tema. Non sono segnalati exploit pubblici nei repository GitHub, ma la combinazione tra severity massima, impatto su infrastrutture AWS diffuse e recente disclosure rende urgente l'azione.

I team AWS devono identificare e cancellare immediatamente tutti i documenti SSM Rex-RO e Rex-RW che sono stati creati utilizzando lo script di esempio fornito da AWS, in ogni account e in ogni Regione. È necessario controllare quali versioni di REX sono attualmente in uso e verificare se il provisioning è stato eseguito prima della data di correzione (2026-07-28). Una volta rimossi i documenti interessati, i rischi legati a questa falla si azzerano.