CERT/CC ha segnalato due vulnerabilità critiche non corrette nella libreria video HTML5 di Kaltura che permettono a un attaccante remoto di leggere file e eseguire codice senza autenticazione. Nessuna patch disponibile: urgenti le mitigazioni.
Due vulnerabilità non ancora corrette nella libreria video HTML5 di Kaltura, note come CVE-2026-19913 e CVE-2026-19912, sono state rese pubbliche dal CERT Coordination Center (CERT/CC). Queste falle consentono a un attaccante remoto e non autenticato di leggere file arbitrari dal server e di eseguire codice, sfruttando una deserializzazione non sicura nell'endpoint mwEmbedLoader.php della libreria mwEmbed, distribuita anche come html5lib. L'unico prerequisito è l'accesso di rete all'endpoint vulnerabile: non è richiesta autenticazione né token di sessione Kaltura.
Dettagli tecnici delle vulnerabilità
La prima vulnerabilità, CVE-2026-19913, sfrutta il parametro ServiceUrl che viene utilizzato per effettuare richieste API di backend. Il client PHP KalturaClientBase recupera il contenuto dell'URL fornito e lo passa direttamente a unserialize() senza alcuna validazione. Se viene fornito un percorso file://, il server legge un file locale e, in caso di errore di deserializzazione, restituisce i byte grezzi del file all'attaccante tramite il messaggio di errore.
Il ricercatore Gerjan Wemekamp, che ha scoperto entrambe le falle, ha dimostrato come sia possibile leggere il file di configurazione /opt/kaltura/app/configurations/local.ini, che contiene credenziali in chiaro e riferimenti interni.
La seconda vulnerabilità, CVE-2026-19912, permette l'esecuzione di codice. Qui, il parametro uiconf_id viene concatenato senza sanitizzazione al percorso della cache. Un attaccante può fornire un oggetto serializzato malevolo tramite ServiceUrl e, usando sequenze di traversale come ../ in uiconf_id, scrivere il file PHP in una directory accessibile dal web server, eseguendolo poi direttamente.
Impatto e mitigazioni consigliate
Le vulnerabilità colpiscono sia installazioni clienti sia i server condivisi di Kaltura, poiché l'endpoint vulnerabile è esposto anche sull'infrastruttura CDN multi-tenant della piattaforma. CERT/CC raccomanda di bloccare o rimuovere l'endpoint tramite WAF, proxy o CDN, di consentire solo URL API legittimi per ServiceUrl, di rifiutare valori uiconf_id con sequenze di traversale, di negare l'esecuzione PHP nelle directory cache e di limitare l'accesso di rete in uscita dal server applicativo. Inoltre, dove l'endpoint è stato esposto, è necessario ruotare tutte le credenziali e i segreti presenti in local.ini.
Le versioni colpite includono html5lib v2.45, v2.103 e precedenti, oltre ad altre release 2.x che espongono l'endpoint vulnerabile. Wemekamp ha assegnato un punteggio di gravità 10.0 a CVE-2026-19912 e 9.1 a CVE-2026-19913. Al momento della pubblicazione, non risultano exploit noti né inserimento delle CVE nel catalogo KEV di CISA.
Comunicazione con il vendor e precedenti simili
Nonostante diversi tentativi di contatto, CERT/CC non è riuscito a coordinare la divulgazione con Kaltura, che non ha rilasciato dichiarazioni ufficiali. Il ricercatore ha documentato i suoi tentativi di segnalazione tra marzo e luglio 2026, coinvolgendo anche una CERT nazionale. Kaltura aveva già rimosso in passato alcune deserializzazioni insicure, ma il file KalturaClientBase.php non era stato interessato da quei fix.
Il tema delle vulnerabilità zero-day e della difficoltà di risposta tempestiva da parte dei vendor è ricorrente: casi simili sono stati osservati anche in altri software, come illustrato nell'analisi su attacchi immediati a vulnerabilità GitLab pubblicata di recente.
Considerazioni per le aziende italiane
Le aziende italiane che utilizzano Kaltura per la gestione e la pubblicazione di video dovrebbero verificare immediatamente l'esposizione dell'endpoint mwEmbedLoader.php e applicare le mitigazioni suggerite. In assenza di una patch ufficiale, la rapidità nell'implementare controlli di accesso e nella rotazione delle credenziali è fondamentale per ridurre il rischio di compromissione e furto di dati sensibili.
