Diario di sicurezza.
Pubblichiamo le scoperte dopo che sono state corrette e verificate — un breve riepilogo, mai una ricetta per l'exploit. I tempi di correzione stanno accanto a ogni voce.
Cosa è successo.
Chiusa la vulnerabilità del kernel Linux CVE-2026-98432
È stata rilevata la vulnerabilità CVE-2026-98432 nel modo in cui il kernel Linux gestisce le connessioni TCP in entrata. Riguarda i server Linux indipendentemente dal servizio che eseguono.
I kernel dei server della piattaforma e dei server VPN attivi dei partner con versioni del sistema supportate sono stati aggiornati a una versione con la correzione.
— Team CreateYourVPNLimiti allineati per il modulo di assistenza pubblico
Un rapporto di Parth Narula ha mostrato che, con un altro indirizzo e-mail, il nostro modulo di assistenza pubblico consentiva di inviare richieste aggiuntive. Abbiamo allineato i limiti del modulo, quindi cambiare indirizzo non consente più di inviare altre richieste. Grazie per la segnalazione responsabile.
— Parth NarulaÈ stato limitato l'accesso all'interfaccia del servizio di assistenza
Un ricercatore esterno ha fatto notare che l'interfaccia del servizio di assistenza era accessibile da internet. L'interfaccia richiedeva l'autenticazione; non sono stati rilevati segni di accessi non autorizzati né di divulgazione di dati degli utenti.
Abbiamo escluso il servizio di assistenza dalla superficie pubblica: l'accesso è consentito solo da indirizzi attendibili e tramite un canale interno. Le impostazioni dell'interfaccia sono state allineate al dominio in uso e la restrizione è stata verificata dall'esterno della nostra rete.
— VimalatithyanL'indirizzo di ritorno è limitato alle pagine del pannello
Un ricercatore di sicurezza ha scoperto che l'indirizzo di ritorno di servizio usato dopo il ripristino della sessione poteva essere interpretato dal browser come una navigazione verso un sito esterno. Lo scenario richiedeva una sessione valida e non dava accesso all'account né ai dati.
Ora l'indirizzo di ritorno viene scelto da un elenco chiuso di pagine interne. Qualsiasi altro valore porta alla pagina principale del pannello. La correzione è coperta da test negativi automatici.
— AnonymousApplicazione DMARC attivata
Un ricercatore di sicurezza ha scoperto che la policy DMARC di createyourvpn.com funzionava solo in modalità di monitoraggio e non richiedeva il rifiuto dei messaggi che non superavano la verifica. Abbiamo attivato p=reject per il dominio principale e sp=reject per i sottodomini che non inviano posta. La posta transazionale resta isolata su sottodomini di invio separati con policy SPF, DKIM e DMARC proprie.
— A Sai VardhanMTA-STS e report TLS attivati
Un ricercatore di sicurezza ha scoperto che MTA-STS e i report TLS non erano configurati per la posta in arrivo di createyourvpn.com. Abbiamo pubblicato una policy MTA-STS e attivato i report TLS. Inizialmente la policy funziona in modalità di test mentre verifichiamo il percorso di inoltro di terze parti; l’applicazione verrà attivata dopo report senza errori.
— A Sai VardhanAggiunto il controllo delle sessioni dell'account
Un ricercatore di sicurezza ha scoperto che una copia del token di una sessione partner poteva rimanere attiva dopo la disconnessione se era stata rinnovata separatamente. Abbiamo associato le sessioni a un'unica identità lato server: ora la disconnessione revoca l'intera sessione corrente, mentre l'azione «Esci ovunque» termina tutte le sessioni attive.
Nel pannello è comparsa la sezione «Sessioni dell’account». Vi sono visibili gli accessi attuali con dispositivo, indirizzo IP, ora di accesso e ultima attività, oltre alla cronologia dei tentativi di accesso riusciti e falliti degli ultimi 90 giorni. Ogni sessione può essere chiusa singolarmente, oppure si possono chiudere tutte insieme.
— A Sai VardhanEnabled DNSSEC
A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.
— Waqar JamalProtezione rafforzata per il modulo di assistenza pubblico
Il ricercatore di sicurezza 0xVicky ha scoperto che il nostro modulo di assistenza pubblico poteva essere usato per inviare un numero eccessivo di richieste. Abbiamo aggiunto limiti per visitatore e per il traffico complessivo, protetto il canale interno di invio del modulo e rafforzato la verifica degli allegati. Grazie per la segnalazione responsabile.
— 0xVickyGestione delle sessioni e invio dei codici di accesso
In seguito alle segnalazioni di un ricercatore esterno abbiamo riesaminato due ambiti contigui: il ciclo di vita di una sessione partner e il percorso dell'e-mail con il codice di accesso. Nessuna delle segnalazioni dava accesso ad account, dati dei partner o traffico degli utenti.
— Ganesh RKHeader di sicurezza sulle pagine delle vetrine
Le vetrine dei partner non inviavano gli header di sicurezza che il pannello e l'API inviavano già, tra cui quello che impedisce ad altri siti di mostrare la pagina in un iframe. Per questa via non era possibile leggere dati dell'account né sessioni. Ora l'insieme completo accompagna ogni risposta delle vetrine e l'affermazione SR-15 nomina ogni frontend che ospitiamo.
— Abhinav RajOgni utente può reimpostare il proprio link di abbonamento
Un link di abbonamento è un segreto: chi lo possiede ottiene lo stesso accesso del titolare. L'utente può reimpostarlo da sé nella propria area personale: il link precedente smette di funzionare e le credenziali collegate vengono riemesse. Un link chiuso in questo modo resta chiuso, anche quando i dati vengono ripristinati da un backup.
— Team CreateYourVPNGli indirizzi e-mail degli utenti delle vetrine non vengono più conservati
Una persona inserisce la propria e-mail per accedere alla vetrina di un partner, ma l'indirizzo non resta da noi: l'e-mail con il codice parte e l'indirizzo viene eliminato subito. L'account è riconosciuto da un'impronta irreversibile dalla quale l'indirizzo non è ricostruibile, e nemmeno il nome dell'account lo contiene.
— Team CreateYourVPNÈ stato limitato l'accesso al pannello di gestione dell'infrastruttura
Un ricercatore esterno ha segnalato che un'interfaccia amministrativa di gestione dell'infrastruttura rispondeva da internet. L'interfaccia era protetta da autenticazione e non sono state trovate tracce di accessi non autorizzati. La segnalazione è stata accettata e l'accesso limitato.
L'interfaccia è ora raggiungibile solo da indirizzi autorizzati, i requisiti di autenticazione sono stati rafforzati e i componenti coinvolti aggiornati. Il risultato è stato verificato dall'esterno della nostra rete. Abbiamo inoltre riesaminato la nostra superficie pubblica e introdotto un controllo periodico. La ricompensa è stata pagata al livello più alto.
— Gaurang MahetaRimosso un percorso di autorizzazione dell'API partner inutilizzato
L'API supportava un percorso di autorizzazione aggiuntivo basato su cookie di cui l'architettura server-side attuale non aveva bisogno. In production non è stato riscontrato alcun attacco cross-site, ma il percorso in più ampliava la superficie per errori futuri. L'API ora usa un unico metodo di autorizzazione definito esplicitamente, coperto da test negativi.
— Team CreateYourVPNGarantita la cancellazione della chiave di gestione dopo l'eliminazione del server
La cancellazione della chiave di gestione cifrata avveniva dopo operazioni di rete in background e poteva non ripetersi se tali operazioni fallivano. Abbiamo disaccoppiato la cancellazione della chiave dalla cascata di rete e aggiunto un nuovo tentativo garantito. Gli scenari di server irraggiungibile e di processo interrotto sono coperti da test.
— Team CreateYourVPNChiavi crittografiche della piattaforma separate per scopo
Una revisione interna ha rilevato che un unico segreto veniva usato per due compiti crittografici diversi. Questo non creava alcun bypass diretto, ma ampliava la portata di una compromissione della chiave. I due scopi sono stati separati e ciascuno ora ruota in modo indipendente.
— Team CreateYourVPNRidotta la superficie pubblica dell'API di production
La documentazione tecnica interattiva dell'API era raggiungibile senza autenticazione. Non dava accesso a dati protetti, ma rendeva più facile studiare la struttura interna dell'API. In production la documentazione ora è disattivata, pur rimanendo disponibile in un ambiente isolato per lo sviluppo.
— Team CreateYourVPNAggiunta una protezione contro una configurazione cross-origin non sicura
La configurazione production attuale non consentiva origini arbitrarie, ma il codice permetteva una combinazione pericolosa di parametri se un operatore la configurava in modo errato. Quella combinazione ora viene rifiutata all'avvio ed è coperta da un test automatizzato.
— Team CreateYourVPNRevisione interna prima del lancio del programma
Il 15 luglio 2026 abbiamo avviato una revisione di sicurezza interna di CreateYourVPN. Le correzioni che abbiamo completato e riverificato sono pubblicate qui sotto; altre seguiranno man mano che verranno distribuite e confermate.
— Team CreateYourVPNCosa finisce qui.
Riepiloghi e tempistiche
Il succo di una scoperta, la classe di vulnerabilità, la data di segnalazione e la data di correzione. Se una scoperta ha confutato un'affermazione SR — una correzione pubblica al report.
Ricette per l'exploit
Istruzioni passo passo, codice PoC e dettagli che aiuterebbero ad attaccare altri server prima che tutti aggiornino.
Hai trovato qualcosa?
Scrivici con un proof of concept riproducibile. Rispondiamo entro 72 ore e gestiamo il triage internamente.