note

Le vulnerabilità impattano componenti chiave della piattaforma Zabbix: Server, Proxy, API, Frontend e Agent 2. Le due vulnerabilità più critiche (CVE-2026-23921 e CVE-2026-23920) possono essere sfruttate rispettivamente tramite API (blind SQL injection) e da utenti autenticati con privilegi adeguati (command injection bypassando la validazione regex). Le altre vulnerabilità di severità media includono istanziazione arbitraria di classi PHP senza autenticazione (Frontend), lettura arbitraria di file nei container Docker tramite Agent 2 e perdita di confidenzialità tra contesti amministrativi differenti per insufficiente isolamento JavaScript (Server/Proxy).

Non sono segnalati exploit pubblici o sfruttamento attivo in the wild. I prodotti impattati includono le versioni 7.0, 7.2 e 7.4 di Zabbix. Il rischio operativo è elevato in ambienti con esposizione ampia, automazioni o amministratori multipli. Si raccomanda l'aggiornamento urgente delle versioni impattate e il monitoraggio degli accessi e delle attività amministrative. Nessuna mitigazione o workaround è stata esplicitamente indicata dal vendor.