Retrospettiva del 2026-08-07, realizzata il 27 ottobre 2026. La data indica il giorno analizzato; pubblicazione e revisione delle fonti sono riportate sotto.
Cosa cambia nell’ambiente operativo
Il punto di partenza è CERTFR-2026-AVI-0977, pubblicato il 2026-08-07. L’ambito comprende Telerik UI pour AJAX. Le conseguenze indicate sono negazione del servizio, esecuzione remota di codice, alterazione dei dati, falsificazione di richieste del server SSRF, aggiramento dei controlli di sicurezza, perdita di riservatezza. Riguardano l’ambito del bollettino: non si attribuisce ogni conseguenza a ogni prodotto o CVE.
Il caso si concentra su Telerik UI pour AJAX. Individuate questa edizione in installazioni attive, immagini e dipendenze effettive, senza considerare equivalenti tutti i prodotti di Progress.
Prodotti e versioni da esaminare
- Riferimento
- CERTFR-2026-AVI-0977
- Prima pubblicazione della fonte
- 2026-08-07
- Ultima revisione disponibile per questa giornata
- 2026-08-07
- Componenti citati
- Telerik UI pour AJAX
- Identificativi CVE
- CVE-2026-13187, CVE-2026-13190, CVE-2026-14932, CVE-2026-14865, CVE-2026-13186, CVE-2026-13183, CVE-2026-13185, CVE-2026-13181, CVE-2026-13192, CVE-2026-13182, CVE-2026-13188, CVE-2026-13189, CVE-2026-13184
| Componente | Condizione pubblicata |
|---|---|
| Telerik UI pour AJAX | < 2026.2.708 (2026 Q2 SP1) |
Per Telerik UI pour AJAX, la condizione pubblicata è «< 2026.2.708 (2026 Q2 SP1)». Confrontate la versione effettivamente caricata nel proprio ramo. Una correzione su un’altra edizione di Telerik UI pour AJAX non chiude questo caso.
Meccanismo e prerequisiti
SSRF abusa delle richieste emesse dal server. Controllate destinazioni, accesso ai metadati e segreti del servizio; la segmentazione riduce l’impatto ma non ripara la logica vulnerabile.
La scheda primaria CVE-2026-13187, pubblicata da ProgressSoftware, riguarda Telerik UI for ASP.NET AJAX. La revisione utilizzata è del 2026-07-24. Questo ambito è distinto dalle integrazioni e dai raggruppamenti del bollettino CERTFR-2026-AVI-0977.
La valutazione pubblicata per CVE-2026-13187 è CVSS 3.1, 8.1/10. Il vettore descrive prerequisiti tecnici, non frequenza degli attacchi o probabilità di compromissione dell’installazione.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vettore di attacco
- rete
- Privilegi iniziali
- nessuno
- Interazione utente
- nessuno
- Complessità
- alto
- Debolezza
- CWE-470
Scegliere l’intervento adeguato
- Individuate istanze di Telerik UI pour AJAX, versioni in esecuzione e responsabili. Registrate la condizione < 2026.2.708 (2026 Q2 SP1) insieme a CERTFR-2026-AVI-0977.
- Confrontate il ramo installato con le note del produttore di Telerik UI pour AJAX. Preparate il pacchetto corretto e un test del servizio dipendente, conservando lo stato iniziale.
- Dopo l’intervento su Telerik UI pour AJAX, rilevate nuovamente la versione caricata e verificate il percorso indicato. Ogni eccezione richiede responsabile, riduzione dell’esposizione e scadenza.
Verificare la correzione nel lavoro reale
Scenario di verifica da adattare a Telerik UI pour AJAX: Su una copia di prova di Telerik UI pour AJAX, confrontate account ordinari e amministrativi sullo stesso percorso. Verificate creazione, lettura e modifica di un oggetto sintetico e il rendering dei contenuti inseriti senza esporre dati reali. È una proposta difensiva, non un’affermazione di test effettuati su sistemi di terzi.
Limite di CERTFR-2026-AVI-0977: questa analisi non sostituisce i prerequisiti del produttore né l’indagine sui log. Sono riprese solo versioni documentate; non si inventano date di attacchi o vittime.
Domande specifiche del caso
Quale condizione verificare per Telerik UI pour AJAX?
CERTFR-2026-AVI-0977 indica Telerik UI pour AJAX — < 2026.2.708 (2026 Q2 SP1). Verificate edizione e versione attiva; non estendete il limite a rami assenti dal bollettino.
Quali prerequisiti specifica la scheda CVE-2026-13187?
Per CVE-2026-13187, il vettore pubblicato è CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Verificate queste condizioni su Telerik UI for ASP.NET AJAX prima di applicarle a un’integrazione citata da CERTFR-2026-AVI-0977.
Fonti e letture collegate
- CERT-FR · CERTFR-2026-AVI-0977
- Fornitore e correzioni · www.telerik.com
- Fornitore e correzioni · www.telerik.com
- Fornitore e correzioni · www.telerik.com
- Fornitore e correzioni · www.telerik.com
- CVE-2026-13187 · CNA
Guida pratica : Valutazione dell'esposizione informatica: una checklist prioritaria
Approfondire la decisione di questo caso
- ColdFusion 2023, ColdFusion 2025: controllare le richieste in uscita
- Moodle: controllare le richieste in uscita
Inventario completo dell’avviso originale
La tabella dell’articolo può essere un estratto. Gli elenchi riportano tutte le voci dei sistemi interessati e le CVE della revisione indicata. Non inventariano i vostri asset né associano ogni CVE a ogni prodotto.
Fonte ufficiale · CERTFR-2026-AVI-0977
Revisione dell’avviso : · Verificato il :
Sistemi interessati · 1
Si conserva il testo originale francese per evitare ambiguità nelle condizioni di versione.
- Telerik UI pour AJAX versions antérieures à 2026.2.708 (2026 Q2 SP1)