SQLite, 4 falle ad alta gravità: l’ACN invita ad aggiornare
Chi usa software che incorpora SQLite 3.54.1 o precedente è interessato dall’alert del CSIRT Italia. Nell’alert AL04/261102/CSIRT-ITA, pubblicato il 2 novembre 2026, l’ACN raccomanda di aggiornare i prodotti vulnerabili all’ultima versione disponibile. Le vulnerabilità sono più di una e quattro hanno gravità alta. SQLite è una libreria open source per basi di dati relazionali, incorporata in numerose applicazioni.
Chi è esposto e cosa fare
Secondo l’ACN, il prodotto affetto è SQLite nella versione 3.54.1 e in quelle precedenti. L’azione raccomandata è aggiornare tempestivamente all’ultima versione disponibile.
L’alert non elenca le applicazioni che includono la libreria e non indica la versione corretta per ciascuna. Chi sviluppa software con SQLite incorporato deve controllare quale versione distribuisce e verificare presso il fornitore o nelle note di rilascio se è disponibile una versione aggiornata.
Cosa permettono le vulnerabilità
Per l’ACN, le falle potrebbero consentire a un attaccante di:
- iniettare comandi di sistema;
- alterare la memoria dei processi interessati;
- compromettere la disponibilità del servizio sui sistemi coinvolti.
Le tipologie indicate sono Arbitrary Code Execution, Data Manipulation e Denial of Service. L’alert riporta solo le CVE di gravità alta.
Le quattro CVE e i componenti coinvolti
Le CVE ad alta gravità sono CVE-2026-119586, CVE-2026-119379, CVE-2026-119374 e CVE-2026-119373. Nella tabella dell’alert le colonne dedicate a codice dimostrativo (POC) e a sfruttamento (EXPLOITATION) sono vuote per tutte e quattro.
L’alert rimanda a quattro advisory di VulnCheck. Dagli indirizzi delle pagine risultano:
| Componente | Problema | Versioni indicate nell’indirizzo |
|---|---|---|
CLI di SQLite, output di .recover |
Command injection | Fino alla 3.54.1 |
Estensione session (sessionUpdateFind) |
Heap buffer overflow | Precedenti alla 3.54.0 |
FTS5 (fts5DoSecureDelete) |
Heap buffer overflow | Precedenti alla 3.54.0 |
FTS5 (fts5MergeRowidLists) |
Heap buffer overflow | Precedenti alla 3.54.0 |
L’alert non indica quale advisory corrisponda a quale CVE, e il contenuto delle pagine VulnCheck non è riportato nell’alert: la tabella si basa solo sugli indirizzi.
Gli altri dati dell’alert
L’ACN indica un impatto sistemico medio, con punteggio 64,74. L’alert è alla versione 1.0.
