Il 6 novembre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato l’alert AL05/261106/CSIRT-ITA. Riguarda gli aggiornamenti di sicurezza rilasciati da JetBrains, azienda che produce strumenti per sviluppatori. Secondo l’alert risolvono più vulnerabilità, di cui due con gravità critica e 20 con gravità alta. L’impatto sistemico è valutato come alto, con un punteggio di 66.15.
Chi è coinvolto
I prodotti interessati sono YouTrack, WebStorm, Ktor, Junie CLI, IntelliJ IDEA, Hub, Datalore e CLion. Secondo l’alert sono vulnerabili queste versioni:
- YouTrack: 2026.2.x precedenti alla 2026.2.19656, 2026.1.x precedenti alla 2026.1.14150 e versioni precedenti alla 2025.3.170763.
- WebStorm: versioni precedenti alla 2026.2.3.
- Ktor: versioni precedenti alla 3.6.1.
- Junie CLI: versioni precedenti alla 26.8.24.
- IntelliJ IDEA: 2026.3.x precedenti alla 2026.3, 2026.2.x precedenti alla 2026.2.4, 2026.1.x precedenti alla 2026.1.5.1 e versioni precedenti alla 2025.3.6.2.
- Hub: versioni precedenti alla 2026.2.52556.
- Datalore: versioni precedenti alla 2026.4.
- CLion: versioni precedenti alla 2026.2.4.1.
Che rischio c’è
L’alert elenca sette tipologie di problema. La prima è la Remote Code Execution, cioè la possibilità che un attaccante faccia eseguire comandi a un sistema da lontano. Segue la Privilege Escalation, che permette a un utente di ottenere più permessi di quelli assegnati.
Ci sono poi l’Authentication Bypass, ossia l’aggiramento del controllo delle credenziali, e l’Information Disclosure, la divulgazione di informazioni che dovrebbero restare riservate. Completano l’elenco l’Arbitrary File Write, cioè la scrittura di file in posizioni scelte da chi attacca, il Security Restrictions Bypass, che consente di superare restrizioni di sicurezza, e lo Spoofing, in cui un soggetto si spaccia per un altro.
Le vulnerabilità sono identificate da 22 codici CVE, gli identificativi pubblici con cui vengono catalogate le falle. Nella tabella dell’alert le colonne dedicate a prova di concetto e sfruttamento attivo risultano vuote per tutti i 22 codici. L’alert non fornisce altri dettagli tecnici sui singoli difetti e rimanda alla pagina di JetBrains dedicata alle questioni di sicurezza risolte.
Cosa fare
In linea con le dichiarazioni del produttore, l’alert raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile. L’elenco completo delle correzioni è consultabile sul sito di JetBrains, indicato come riferimento nell’alert.
Vale la pena controllare quali di questi strumenti sono installati su postazioni e server, compresi quelli usati solo da alcuni sviluppatori. Chi si affida a un fornitore IT può chiedergli conferma che le versioni in uso siano state aggiornate.
Fonte: alert AL05/261106/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 6 novembre 2026 (impatto sistemico alto). Leggi l’alert originale.
