In sintesi
L’Agenzia per la Cybersicurezza Nazionale (ACN), attraverso il suo CSIRT Italia, ha diffuso un alert (AL07/260605/CSIRT-ITA) riguardante la scoperta di tre nuove e significative vulnerabilità all’interno di MariaDB Server. Tra queste, una è stata classificata con gravità “critica” e le altre due con gravità “alta”. L’alert, pubblicato il 05-06-2026, evidenzia un impatto sistemico “Alto” con un punteggio di 71.79, sottolineando l’urgenza e la potenziale serietà della situazione.
Le vulnerabilità risiedono specificamente nel componente Galera di MariaDB Server. Il loro sfruttamento potrebbe avere conseguenze devastanti, consentendo a un utente malintenzionato remoto di eseguire codice arbitrario (identificato come Remote Code Execution e Arbitrary Code Execution) o di manipolare dati, configurazioni e contenuti applicativi del sistema (Tampering). Questo espone direttamente all’alterazione o alla compromissione dell’integrità e della disponibilità dei dati gestiti. Le versioni affette includono diverse release sia di MariaDB Enterprise Server (versioni 10.6.x precedenti alla 10.6.25-22, 11.4.x precedenti alla 11.4.10-8, 11.8.x precedenti alla 11.8.6-4) sia di MariaDB Community Server (versioni 10.6.x precedenti alla 10.6.27, 10.11.x precedenti alla 10.11.18, 11.4.x precedenti alla 11.4.12, 11.8.x precedenti alla 11.8.8). Le vulnerabilità sono identificate dai CVE-2026-49165, CVE-2026-49261 e CVE-2026-49163.
Per le organizzazioni che gestiscono dati personali, l’utilizzo di MariaDB Server in versioni vulnerabili rappresenta un rischio elevato e non trascurabile. La possibilità di Remote Code Execution e di alterazione dei dati minaccia direttamente i principi fondamentali di integrità, riservatezza e disponibilità dei dati, cardini del Regolamento Generale sulla Protezione dei Dati (GDPR). L’articolo 32 del GDPR impone l’adozione di misure di sicurezza adeguate, inclusa la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati personali in caso di incidente fisico o tecnico. Inoltre, per gli operatori di servizi essenziali e importanti rientranti nell’ambito della direttiva NIS2, la gestione proattiva e l’aggiornamento contro vulnerabilità critiche sono requisiti imprescindibili per garantire la sicurezza delle reti e dei sistemi informativi e per prevenire interruzioni o compromissioni che potrebbero avere un impatto significativo sulla continuità operativa e sulla fiducia delle parti interessate.
In linea con le dichiarazioni del vendor e le raccomandazioni del CSIRT Italia, l’azione di mitigazione principale e più urgente è l’aggiornamento tempestivo di tutti i prodotti MariaDB Server interessati alle versioni sicure. È fondamentale che gli amministratori di sistema e i team di sicurezza agiscano prontamente per implementare questi aggiornamenti, riducendo così l’esposizione a potenziali attacchi e garantendo la conformità alle normative sulla protezione dei dati e sulla sicurezza informatica.
- MariaDB Enterprise Server: aggiornare alla versione 10.6.25-22 o successiva, 11.4.10-8 o successiva, 11.8.6-4 o successiva.
- MariaDB Community Server: aggiornare alla versione 10.6.27 o successiva, 10.11.18 o successiva, 11.4.12 o successiva, 11.8.8 o successiva.