GitHub Enterprise Server: SSRF non autenticata (CVE-2026-9312)

SSRF non autenticata in GitHub Enterprise Server: servizi interni raggiungibili. Alta per NVD (8,2), critica per GitHub (9,2).

Il 27 maggio 2026 è stata pubblicata la scheda di CVE-2026-9312, una server-side request forgery non autenticata in GitHub Enterprise Server. Attraverso un endpoint di caricamento con validazione debole, un attaccante può far effettuare al server richieste verso servizi interni.

La gravità è valutata in modo diverso: NVD assegna CVSS v3.1 8,2 (alta), mentre il CNA GitHub assegna CVSS v4.0 9,2 (critica). Questo articolo riporta entrambi i valori, senza sceglierne uno.

Aggiornare alla release corretta del proprio ramo: 3.17.17, 3.18.11, 3.19.8, 3.20.4 o 3.21.2. Per le istanze sulla 3.22 consultare le note di rilascio. Verificare anche che il segmento di rete dell'istanza non possa raggiungere database o servizi interni sensibili.

In sintesi

Cosa: Un attaccante non autenticato può raggiungere servizi interni dell'istanza tramite un endpoint di caricamento, a causa di una validazione debole dell'input.
Gravità: CVSS v3.1 8,2 (alta) secondo NVD; CVSS v4.0 9,2 (critica) secondo il CNA GitHub.
Versioni interessate: GitHub Enterprise Server prima della 3.22.
Correzione: GHES 3.17.17, 3.18.11, 3.19.8, 3.20.4 e 3.21.2. Per la 3.22 consultare le note di rilascio.
Azione: Aggiornare alla release corretta del proprio ramo. Verificare che i servizi interni non siano raggiungibili dal segmento di rete dell'istanza.

Fonti: NVD, CVE-2026-9312 · GitHub, note di rilascio GHES 3.21.2

← Tutti gli articoli