CVE-2026-58936: RCE critico in uso-dopo-libera PNG

CVE-2026-58936 è un errore di uso-dopo-libera (use-after-free) nella funzione png_set_tRNS del file pngset.c. La vulnerabilità permette a un attaccante di causare corruzione della memoria, portando a esecuzione remota di codice (RCE). Colpisce sistemi che elaborano file PNG, inclusi Android e altri ambienti che utilizzano libpng.

Il CVSS riportato è 9,8, massima criticità. La vulnerabilità consente RCE senza richiedere privilegi aggiuntivi né interazione dell'utente: elaborare un PNG malevolo è sufficiente. È stata pubblicata su NVD il 2 novembre 2026 ed è inclusa negli aggiornamenti di sicurezza Android di novembre, dove figura tra 23 CVE critici. I segnali online mostrano discussione recente della vulnerabilità su canali di settore.

Amministratori IT e team di sicurezza devono applicare i patch di novembre 2026 immediatamente su tutti i sistemi Android e infrastrutture che utilizzano libpng per elaborazione immagini. È essenziale verificare endpoint attuali, file transfer service e browser che elaborano PNG. Monitorare i log per accessi anomali e tentativi di elaborazione di file PNG malformati. Completare patching entro 48 ore per ambienti critici.