Il 16 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato l’alert AL06/261016/CSIRT-ITA. Riguarda gli aggiornamenti di sicurezza rilasciati da JetBrains per più vulnerabilità in diversi prodotti. Secondo l’alert, una ha gravità «critica» e quattro «alta». L’impatto sistemico, cioè la stima dell’effetto complessivo sui sistemi, è indicato come «alto», con un punteggio di 66,41.
Chi è coinvolto
L’alert elenca quattro prodotti e le versioni interessate:
- Exposed: tutte le versioni precedenti alla 1.5.1
- TeamCity: tutte le versioni precedenti alla 2025.11.8, e le versioni 2026.1.x precedenti alla 2026.1.4
- Datalore: tutte le versioni precedenti alla 2026.2.1
- Junie CLI: tutte le versioni precedenti alla 26.8.3
Le cinque vulnerabilità con gravità alta o critica hanno questi identificativi: CVE-2026-111095, CVE-2026-111094, CVE-2026-111093, CVE-2026-111091 e CVE-2026-108474. Una CVE è il codice con cui una falla di sicurezza viene catalogata a livello internazionale. L’alert non specifica quale CVE riguardi quale prodotto. La tabella allegata non riporta indicazioni su dimostrazioni di attacco o su sfruttamento in corso.
Che rischio c’è
L’alert indica tre tipologie di problema. La prima è l’esecuzione di codice remoto, cioè la possibilità che un malintenzionato faccia eseguire comandi a un sistema da lontano, senza averne il controllo diretto. La seconda è la divulgazione di informazioni, che può portare a leggere dati sensibili a cui non si dovrebbe avere accesso. La terza è l’aggiramento delle restrizioni di sicurezza, cioè dei meccanismi che limitano ciò che un utente può fare.
Secondo l’alert, chi sfrutta queste vulnerabilità potrebbe eludere i meccanismi di sicurezza, accedere a informazioni sensibili ed eseguire codice arbitrario remoto sui sistemi interessati.
Cosa fare
L’azione raccomandata dal CSIRT Italia, in linea con le dichiarazioni del produttore, è aggiornare i prodotti vulnerabili. Le indicazioni sono nel bollettino di sicurezza di JetBrains, nella pagina delle vulnerabilità corrette (jetbrains.com/privacy-security/issues-fixed).
In pratica, conviene confrontare la versione installata con quelle indicate sopra e passare a una versione uguale o successiva a quella corretta. Dove gli strumenti JetBrains sono gestiti da un fornitore o da un reparto informatico esterno, vale la pena avvisarlo e chiedere conferma che l’aggiornamento sia stato applicato.
Fonte: alert AL06/261016/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 16 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
