CVE-2026-82384: RCE in Apache Roller 6.1.5

RCE via deserialization non autenticato in Apache Roller 6.1.5. CVSS 9,8. Upgrade a 6.1.6.

Il CVE-2026-82384 è una vulnerabilità di deserialization non autenticata nell'endpoint XML-RPC di Apache Roller 6.1.5. L'endpoint accetta tipi di estensione vendor che vengono deserializzati durante il parsing della richiesta, prima del controllo di autenticazione. Poiché il servlet è mappato incondizionatamente, la vulnerabilità è sfruttabile anche quando XML-RPC è disabilitato globalmente. Questo consente esecuzione di codice remoto arbitrario da parte di attaccanti non autenticati.

La vulnerabilità ha ricevuto una valutazione CVSS 9,8 (critical). È stata pubblicata su NVD il 2026-09-28. A partire dal 2026-10-30, repository pubblici su GitHub dichiarano di contenere exploit funzionanti. Non è richiesta alcuna configurazione non-standard per sfruttare la falla: l'endpoint vulnerabile è disponibile in qualsiasi istanza di Apache Roller esposta a rete, indipendentemente da impostazioni di sicurezza globali.

Gli amministratori devono aggiornare immediatamente a Apache Roller 6.1.6 o successivo, dove i tipi di estensione sono disabilitati e le richieste sono rifiutate quando XML-RPC è disabilitato. È essenziale inventariare tutte le istanze di Apache Roller in uso e prioritizzare quelle esposte a internet. Nel periodo precedente al patch, esaminare attentamente i log dell'endpoint XML-RPC per tracce di accesso anomalo o tentativi di sfruttamento.

In sintesi

Cosa: CVE-2026-82384: deserialization di dati non attendibili nell'endpoint XML-RPC di Apache Roller 6.1.5. L'endpoint accetta tipi di estensione vendor deserializzati prima dell'autenticazione, consentendo esecuzione di codice remoto. Il servlet è mappato incondizionatamente, vulnerabile anche con XML-RPC disabilitato globalmente.
Gravità: CVSS 9,8 (critical). Esecuzione di codice remoto non autenticata. Nessuna configurazione non-default richiesta.
Versioni interessate: Apache Roller 6.1.5 e precedenti. Tutte le istanze con endpoint XML-RPC accessibile sono vulnerabili, indipendentemente da impostazioni globali di sicurezza.
Correzione: Upgrade a Apache Roller 6.1.6 o successivo. La versione patched disabilita i tipi di estensione e rifiuta richieste quando XML-RPC è disabilitato.
Stato: Pubblicata su NVD il 2026-09-28. Repository pubblici su GitHub dichiarano di contenere exploit a partire dal 2026-10-30. Exploit confermato come pratico.
Azione: Aggiornare a 6.1.6+ immediatamente. Inventariare istanze in produzione. Analizzare log XML-RPC per accessi anomali nel periodo pre-patch. Prioritizzare istanze esposte a internet.

Fonti: NVD, CVE-2026-82384

← Tutti gli articoli