Linux News: vulnerabilità OpenSSH e APT, Podman 6.2 e Zellij 0.46
Le principali news Linux: vulnerabilità OpenSSH SSHole e APT, correzioni di sicurezza in Podman 6.2 e novità del terminale Zellij 0.46.
La sicurezza dei sistemi Linux dipende da molti più elementi del semplice kernel. Un server può essere esposto attraverso un servizio di accesso remoto, un computer può incontrare problemi durante l’installazione dei pacchetti e persino la gestione dei container richiede controlli sempre più accurati.
Le notizie di novembre 2026 mostrano bene questa complessità.
OpenSSH ha pubblicato una correzione per una vulnerabilità che può consentire di aggirare l’autenticazione in configurazioni Linux specifiche. Debian e Ubuntu hanno corretto un problema nel gestore pacchetti APT. Nel mondo dei container è arrivato Podman 6.2, mentre Zellij 0.46 introduce funzionalità che rendono più interessante il lavoro da terminale.
Vediamo cosa è successo, quali sistemi potrebbero essere interessati e quali sono le implicazioni pratiche.
OpenSSH SSHole: una vulnerabilità che riguarda particolari configurazioni Linux
Il 5 novembre 2026 OpenSSH ha pubblicato la versione 10.6p2, contenente una correzione di sicurezza per un problema di autenticazione SSH.
La vulnerabilità, identificata come CVE-2026-123158 e conosciuta
informalmente come SSHole, riguarda il server sshd in particolari
configurazioni Linux.
In determinate condizioni, un attaccante remoto potrebbe riuscire ad autenticarsi senza conoscere la password dell’account.
L’aspetto più importante da comprendere è che non tutti i server Linux che utilizzano OpenSSH sono vulnerabili.
Perché musl e PAM sono importanti
Per capire il problema bisogna considerare due componenti del sistema operativo: la libreria C utilizzata dal programma e l’eventuale integrazione con PAM.
glibc è la libreria C comunemente utilizzata da distribuzioni come Debian, Ubuntu e Fedora. musl è un’alternativa leggera e particolarmente diffusa in ambienti minimali come Alpine Linux.
PAM, acronimo di Pluggable Authentication Modules, è invece un sistema modulare che consente alle applicazioni di delegare la gestione dell’autenticazione.
Il problema corretto da OpenSSH riguarda sistemi costruiti con musl nei quali PAM è disabilitato.
Alpine Linux è particolarmente rilevante perché distribuisce una configurazione di OpenSSH senza PAM.
Questo non significa che un’installazione Alpine sia automaticamente vulnerabile: sono necessarie ulteriori condizioni, tra cui l’autenticazione tramite password abilitata e determinate configurazioni degli account locali.
L’advisory Alpine descrive anche la presenza di account con un campo password particolare e di almeno un account con un hash compatibile.
Perché la vulnerabilità è particolarmente importante
Il 9 novembre 2026 la CVE è stata inserita nel catalogo Known Exploited Vulnerabilities della CISA.
Il catalogo KEV raccoglie vulnerabilità per le quali esistono evidenze di sfruttamento reale.
È una distinzione importante: una CVE può descrivere un problema potenzialmente sfruttabile, mentre l’inserimento nel catalogo KEV segnala che non si tratta soltanto di una possibilità teorica.
La data di remediation indicata dalla CISA è il 12 novembre 2026 per le amministrazioni federali statunitensi soggette alle relative disposizioni.
Come proteggere i sistemi interessati
Alpine raccomanda di aggiornare OpenSSH utilizzando i pacchetti della
distribuzione e di riavviare successivamente il servizio sshd.
Il riavvio è importante perché sostituire i file del pacchetto sul disco non equivale necessariamente ad aggiornare un processo già in esecuzione.
Quando non è possibile applicare immediatamente la correzione, l’advisory
indica anche la possibilità di disabilitare temporaneamente
PasswordAuthentication.
Prima di modificare l’autenticazione SSH di un server remoto è indispensabile aver verificato che un metodo alternativo di accesso funzioni correttamente.
Un ulteriore aspetto da considerare è il backport delle correzioni di sicurezza: una distribuzione può integrare una patch mantenendo una versione precedente del software.
Per questo è necessario consultare gli advisory della distribuzione installata, invece di basarsi esclusivamente sul numero di versione di OpenSSH.
Fonti:
- OpenSSH – Release Notes
- Alpine Linux – Security Advisory
- Red Hat – CVE-2026-123158
- Ubuntu – CVE-2026-123158
Vulnerabilità APT: perché la sicurezza dei pacchetti Debian e Ubuntu è fondamentale
La seconda notizia riguarda CVE-2026-109518, una vulnerabilità del gestore pacchetti APT pubblicata il 4 novembre 2026.
APT è uno dei componenti fondamentali delle distribuzioni Debian, Ubuntu e di numerosi sistemi derivati.
Quando utilizziamo i comandi apt update o apt install, APT interagisce con
i repository configurati, recupera informazioni sui pacchetti e gestisce le
operazioni necessarie.
La sicurezza di questo processo è particolarmente importante perché l’installazione dei pacchetti può richiedere privilegi amministrativi.
Come APT verifica i pacchetti
APT utilizza un meccanismo di fiducia basato sui metadati firmati dei repository.
Le firme consentono di verificare l’autenticità delle informazioni distribuite dal repository, mentre gli hash crittografici vengono utilizzati per verificare l’integrità dei file scaricati.
Questi controlli hanno lo scopo di impedire che un pacchetto manipolato venga accettato come legittimo.
La vulnerabilità individuata riguarda però un caso specifico in cui la gestione dei download e il riutilizzo di hard link possono compromettere il normale percorso di verifica.
Quali condizioni servono per sfruttare la vulnerabilità
Secondo gli advisory Debian e Ubuntu, l’attaccante deve poter manipolare il traffico HTTP tra il sistema e il repository.
Sono inoltre necessari un reindirizzamento del download, un successivo
tentativo di scaricamento e un valore di Acquire::Retries diverso da zero.
A partire da Debian 12 e Ubuntu 22.04 LTS, il valore predefinito di questa impostazione è 3.
In presenza delle condizioni richieste, un attaccante potrebbe indurre APT a installare un pacchetto non verificato.
Le conseguenze possono includere l’esecuzione di codice con privilegi root.
Ubuntu ha assegnato alla vulnerabilità priorità High e un punteggio CVSS 4.0 di 7,7.
Versioni corrette su Debian
Il Debian Security Tracker indica le seguenti versioni corrette del pacchetto APT:
| Distribuzione | Versione corretta |
|---|---|
| Debian 12 Bookworm | 2.6.2 |
| Debian 13 Trixie | 3.0.4 |
| Debian Forky | 3.3.6 |
| Debian Sid | 3.3.7 |
Per Ubuntu, invece, le versioni corrette dipendono dalla release installata.
Tra quelle riportate nell’advisory ufficiale troviamo:
| Ubuntu | Versione corretta |
|---|---|
| 24.04 LTS | 2.8.4ubuntu0.1 |
| 22.04 LTS | 2.4.15ubuntu0.1 |
| 26.04 LTS | 3.2.1ubuntu0.1 |
| 26.10 | 3.3.3ubuntu0.1 |
I numeri si riferiscono alle versioni dei pacchetti pubblicate dai rispettivi progetti. Non devono essere interpretati come una scala comune tra distribuzioni differenti.
Che cosa deve fare chi utilizza Debian o Ubuntu
La misura principale è installare gli aggiornamenti di sicurezza della propria distribuzione.
Non bisogna sostituire manualmente APT con un pacchetto proveniente da una distribuzione differente.
È inoltre opportuno verificare la configurazione dei repository e utilizzare fonti affidabili.
Questa vulnerabilità mostra quanto sia importante proteggere non soltanto le applicazioni installate, ma anche gli strumenti utilizzati per distribuire e aggiornare il software.
Fonti:
Podman 6.2: nuove funzioni e tre correzioni per la sicurezza dei container
Il 10 novembre 2026 è stata pubblicata la versione Podman 6.2.0.
Podman è uno strumento open source per la gestione dei container, utilizzato sia su sistemi personali sia in ambienti server.
Rispetto al modello architetturale tradizionale di Docker, Podman può gestire i container senza dipendere da un daemon centrale persistente e supporta l’esecuzione rootless.
Queste caratteristiche lo rendono interessante per chi desidera integrare i container con gli strumenti di amministrazione Linux.
Tre vulnerabilità, tre problemi differenti
La nuova versione corregge tre vulnerabilità di sicurezza.
CVE-2026-121885 riguarda podman auto-update: metadati non attendibili
presenti nelle immagini container potevano influenzare il meccanismo di
aggiornamento e provocare il riavvio di unità systemd non corrette.
CVE-2026-111361 riguarda la verifica delle immagini container e poteva consentire a immagini malevole di aggirare determinati controlli relativi a digest e firme.
Il digest rappresenta un’impronta crittografica del contenuto dell’immagine. La firma digitale, invece, può contribuire a verificarne la provenienza.
CVE-2026-123876 riguarda una limitazione del profilo seccomp predefinito
utilizzato da Podman attraverso containers-common.
Seccomp è una funzionalità del kernel Linux che consente di filtrare le chiamate di sistema effettuate dai processi.
La vulnerabilità permetteva di aggirare particolari restrizioni sui socket
AF_VSOCK e NETLINK_AUDIT.
I tre problemi non hanno lo stesso scenario di sfruttamento e non devono essere considerati equivalenti.
Le principali nuove funzionalità
Podman 6.2 non è soltanto una release di sicurezza.
Il comando podman push introduce l’opzione --platform, utile per
selezionare una specifica piattaforma durante la pubblicazione di un’immagine.
Anche podman kube play riceve nuove funzionalità per validare le
configurazioni, assegnare etichette e gestire più pod.
Sono presenti inoltre miglioramenti a Quadlet, il meccanismo che consente di integrare la gestione dei container con systemd attraverso file di configurazione.
Sul fronte Windows arriva anche un’integrazione più diretta con systemd nel provider WSL.
Perché aggiornare Podman
Chi utilizza container deve considerare diversi livelli di sicurezza: provenienza delle immagini, integrità dei contenuti, metadati, privilegi dei processi e isolamento rispetto al sistema ospitante.
Podman 6.2 interviene su diversi di questi aspetti.
Prima dell’aggiornamento, in ambienti di produzione, è opportuno verificare la compatibilità delle configurazioni esistenti e pianificare l’eventuale ricreazione dei container interessati.
Fonti:
- Podman 6.2 – Release ufficiale
- Advisory CVE-2026-121885
- Advisory CVE-2026-111361
- Advisory CVE-2026-123876
Zellij 0.46: il multiplexer diventa anche un terminale autonomo
Tra le novità più interessanti per chi lavora quotidianamente con Linux troviamo Zellij 0.46, pubblicato l'11 novembre 2026.
Zellij è un terminal multiplexer: permette di organizzare più processi, sessioni, schede e pannelli all’interno di un ambiente testuale.
È particolarmente utile quando si lavora con diversi strumenti contemporaneamente, ad esempio editor, compilatori, monitoraggio dei processi e connessioni remote.
Multiplexer e terminal emulator: quale differenza?
Un terminal emulator è l’applicazione che permette di interagire con una shell attraverso una finestra.
Un multiplexer, invece, organizza più sessioni e programmi all’interno di un terminale.
Tradizionalmente Zellij viene eseguito all’interno di un terminal emulator già disponibile nel sistema.
Con la versione 0.46 questo cambia, almeno per chi desidera utilizzare la nuova funzionalità.
Il nuovo terminale integrato
Zellij può ora essere avviato come terminale autonomo attraverso il comando:
zellij terminal
Il programma mette a disposizione direttamente il proprio terminale integrato.
Questo non significa che Zellij abbandoni il modello precedente. Il multiplexer continua a funzionare anche all’interno di un terminale tradizionale.
Inoltre, il nuovo terminale non replica la struttura grafica tipica delle applicazioni desktop con tab e split gestiti esternamente: l’organizzazione rimane affidata all’interfaccia testuale di Zellij.
La release ufficiale indica il supporto per Linux, macOS e Windows.
È però presente una limitazione: le build musl non includono il terminale integrato. Per utilizzare questa funzionalità è necessario scegliere una build GNU compatibile.
Attention Inbox e anteprime delle sessioni
Un’altra novità interessante è Attention Inbox.
La funzionalità è pensata per aiutare l’utente a identificare i pannelli e le sessioni che richiedono attenzione.
È un approccio particolarmente utile quando diversi processi lavorano in parallelo.
Pensiamo agli strumenti di compilazione, ai test automatici o ai coding agent: invece di controllare manualmente ogni sessione, Zellij può offrire una visione più organizzata delle attività che richiedono un intervento.
Le nuove Session Previews permettono inoltre di osservare il contenuto delle sessioni senza dover passare continuamente dall’una all’altra.
La versione 0.46 introduce anche una schermata delle impostazioni, un editor dei temi e miglioramenti nell’interazione tramite mouse.
Il futuro di Zellij
Gli sviluppatori descrivono una direzione evolutiva sempre più orientata a un ambiente di lavoro centrato sul terminale.
Per il momento, tuttavia, non si tratta di un ambiente desktop Linux completo.
È più corretto considerare Zellij 0.46 come un’importante evoluzione del multiplexer, che aggiunge nuove possibilità senza eliminare le funzioni esistenti.
Fonti:
Conclusione: sicurezza e innovazione continuano a evolvere insieme
Queste quattro notizie mostrano aspetti complementari dell’ecosistema Linux.
OpenSSH e APT ricordano l’importanza degli aggiornamenti di sicurezza e delle configurazioni effettivamente utilizzate. Podman dimostra quanto siano articolati i controlli necessari per eseguire container affidabili.
Zellij rappresenta invece il lato dell’innovazione open source: strumenti che continuano a evolvere per adattarsi a modalità di lavoro sempre più complesse.
Il messaggio comune è che conoscere Linux significa comprenderne i componenti, non limitarsi a installare aggiornamenti o eseguire comandi.
Su ScrivoCodice continuiamo a raccontare proprio questo: Linux, sistemi operativi e software libero spiegati in maniera semplice, ma tecnicamente accurata.
Segui ScrivoCodice su YouTube per le prossime Tech News e per la serie dedicata alle distribuzioni Linux.