Copeland XWEB EVO
Copeland XWEB EVO: password di backdoor fissa dà accesso da amministratore
Il problema, secondo i dati ufficiali
- In Copeland XWEB EVO è presente una password di backdoor scritta nel codice (hardcoded) per l'account Administrator integrato. Con questa credenziale si ottiene, con una sola richiesta, una sessione amministrativa completa e il pieno controllo dell'applicazione.
- Può sfruttarla un attaccante remoto non autenticato, via rete e senza bisogno di un account (anche da internet, se il servizio è esposto).
- Questa linea di prodotti ha raggiunto la fine del servizio a marzo 2026.
- La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- Aggiorna XWEB EVO alla versione 5.6.2 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- XWEB EVO: prima della 5.6.2
Fonti ufficiali
- webapps.copeland.com — avviso del produttore
- webapps.copeland.com — patch
- www.vulncheck.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
XWEB EVO before 5.6.2 contains a hardcoded backdoor password vulnerability that allows unauthenticated remote attackers to gain full administrative access to the built-in Administrator account. Attackers can authenticate using the hardcoded credential xwebevonewgeneration in a single request to obtain a complete admin session and full control over the application. This product line reached it's end of service date in March 2026.
Non sai se ti riguarda?
Se usi Copeland XWEB EVO e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.