TrendAI Vision One, TOCTOU nel servizio di scansione: LPE a SYSTEM

TrendAI Vision One, TOCTOU nel servizio di scansione: LPE a SYSTEM {"main_topic":"vulnerabilita","topics":["cybersecurity","cve","patch","zero-day","exploit"]}

Il 28 maggio 2026 TrendAI ha rilasciato le patch per la vulnerabilità ZDI-26-326 (CVE-2026-45208), una race condition di tipo Time-of-Check Time-of-Use nel servizio Apex One NT RealTime Scan che consente a un attaccante locale con codice a basso privilegio di elevare i permessi fino a SYSTEM. L'advisory Zero Day Initiative, pubblicato in coordinazione con il vendor, conferma che la falla risiede nella mancanza di meccanismi di locking durante operazioni su oggetti condivisi. La società ha inoltre segnalato almeno un tentativo di exploit in-the-wild per vulnerabilità appartenenti alla stessa serie, rendendo l'aggiornamento prioritario per gli endpoint enterprise.

Come funziona la race condition nel servizio di scansione

Il servizio Apex One NT RealTime Scan opera con privilegi SYSTEM per intercettare e analizzare file in tempo reale. Secondo l'advisory ZDI-26-326, "la specifica falla esiste all'interno del servizio Apex One NT RealTime Scan. Il problema deriva dalla mancanza di proper locking quando si eseguono operazioni su un oggetto". Questa assenza di sincronizzazione crea una finestra temporale in cui un processo a bassa integrità può alterare lo stato di una risorsa condivisa dopo che il servizio l'ha verificata ma prima che la utilizzi.

La tecnica TOCTOU (Time-of-Check Time-of-Use, CWE-367) è classica in scenari dove un processo ad alto privilegio opera su path o handle condivisi con codice non attendibile. In questo caso, il servizio di scansione—progettato per proteggere l'endpoint—diventa esso stesso il vettore di compromissione. L'attaccante non ha bisogno di credenziali amministrative iniziali: basta l'esecuzione di codice low-privileged, condizione tipica di malware già presente sulla macchina o di un utente con permessi limitati.

L'advisory ZDI specifica che "un attaccante può sfruttare questa vulnerabilità per escalation di privilegi ed esecuzione di codice arbitrario nel contesto di SYSTEM". Il vettore AV:L/AC:L/PR:L/UI:N/S:U conferma la natura locale e a bassa complessità dell'attacco: accesso fisico o remoto non è richiesto, l'interazione utente è nulla, e l'ambito rimane confinato al singolo endpoint compromesso.

La catena di kill: da low-privilege a controllo totale

Il punteggio CVSS 7.8 con tripla H (High su Confidentiality, Integrity, Availability) posiziona questa falla al centro della catena di compromissione post-infiltrazione. Un attaccante che abbia già ottenuto esecuzione codice su un endpoint—tramite phishing, dropper, o movimento laterale—può utilizzare ZDI-26-326 per elevarsi a SYSTEM. Da quel livello, la persistenza, la disabilitazione di contromisure e l'estrazione dati diventano tecnicamente banali.

Il fatto che TrendAI abbia osservato almeno un tentativo di exploit in-the-wild per vulnerabilità della serie aggiunge urgenza. Il bulletin non distingue quale CVE specifico sia stato bersagliato: potrebbe essere il 45208, potrebbe essere un altro della stessa release. Ciò che conta è che gli attori di minaccia stanno già testando queste falle in ambiente reale, e il window di esposizione per endpoint non patchati si restringe.

La disclosure coordinata, con report al vendor l'11 settembre 2025 e rilascio pubblico l'8 mesi dopo, segue il ritmo tipico di cicli patch complessi su agent distribuiti su larga scala. TrendAI—il nuovo brand che emerge dalle fonti recenti, successore del precedente Trend Micro—ha dovuto gestire aggiornamenti sia per l'infrastruttura on-prem che per il modello SaaS/SEP, con build differenti.

Versioni colpite e patch disponibili

Il CVE Record ufficiale identifica le versioni affette come "14.0 before 14.0.0.17079". L'advisory vendor specifica due build di correzione: 14.0.0.17079 per le installazioni on-prem di Apex One, e 14.0.20731 per il componente Security Agent nel contesto Vision One SaaS/SEP. La distinzione è operativamente rilevante: le aziende con deployment ibridi devono verificare quale build è attiva su ciascun segmento dell'infrastruttura.

Non è nota la data esatta di disponibilità interna delle patch oltre l'indicazione generica di maggio 2026. Il bulletin TrendAI conferma il rilascio coordinato con ZDI per il 28 maggio 2026. L'assenza di dettagli sulle modifiche al codice—quali primitive di locking siano state introdotte, se la fix abbia alterato l'architettura del servizio—limita l'analisi tecnica approfondita. Il credit della scoperta va al ricercatore Lays (@_L4ys) di TRAPA Security, che ha lavorato tramite il programma Zero Day Initiative.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle fonti verificate:

1. Verificare la build agent su tutti gli endpoint. Confermare che l'installazione riporti almeno build 14.0.0.17079 (on-prem) o 14.0.20731 (SaaS/SEP). Le versioni precedenti alla 14.0 sono escluse dal range affetto secondo il CVE Record, ma la matricola di aggiornamento richiede attenzione per i deployment legacy.

2. Applicare l'aggiornamento coordinato con ZDI. Il vendor ha emesso patch specifiche; il rilascio del 28 maggio 2026 è il riferimento temporale certo. Non è documentato se l'aggiornamento sia automatico per i tenant SaaS: le organizzazioni con deployment ibridi devono verificare lo stato di ciascun endpoint.

3. Monitorare anomalie di escalation privilegi. La natura TOCTOU della falla lascia tracce potenzialmente rilevabili: accesso anomalo al servizio NT RealTime Scan, pattern di race condition su handle oggetto, o elevazione rapida di processi da bassa a SYSTEM integrity. Il bulletin ITW indica che attaccanti stanno già operando su questa superficie.

4. Tracciare la serie di vulnerabilità correlate. Il bulletin TrendAI raggruppa ZDI-26-326 con altre falle (serie 34926-34930 e 45206-45208). L'aggiornamento di sicurezza rilasciato il 28 maggio 2026 copre l'intero set; applicazione selettiva di singola patch non è documentata come sufficiente.

"TrendAI has observed at least one instance of an attempt to actively exploit one of these vulnerabilities in the wild." — TrendAI Security Bulletin KA-0023430

Il paradosso del guardiano che apre la porta

Il caso ZDI-26-326 incarna una contraddizione strutturale della sicurezza endpoint: il componente che deve ispezionare e bloccare le minacce, per farlo, deve operare con i massimi privilegi del sistema. Quando quel componente fallisce nella sincronizzazione interna, la sua stessa architettura lo trasforma in vector di attacco. Il servizio di scansione real-time, progettato per leggere ogni file prima dell'esecuzione, finisce per esporre un handle condiviso senza locking.

La TOCTOU è una categoria di bug nota da decenni, ma la sua persistenza in codice di sicurezza enterprise indica che le pratiche di secure-by-design non hanno ancora raggiunto componenti critici come i motori di scansione on-access. Il ritardo di otto mesi tra report e disclosure coordinata—ampiamente nel range standard ma non banale—suggerisce complessità di regression testing su agent distribuiti a milioni di endpoint. L'osservazione ITW, pur non specificando il CVE esatto, rompe l'illusione che queste race condition restino teoriche.

Per le organizzazioni, il dato pratico è che un agent non aggiornato rappresenta ora un rischio attivo, non solo un debito tecnico. La differenza tra build 17079 e la precedente non è una metrica astratta: è la linea che separa un endpoint controllabile da uno completamente compromesso.

Domande frequenti

La vulnerabilità è sfruttabile da remoto?
No. Il vettore è locale (AV:L) e richiede che l'attaccante esegua già codice low-privileged sul sistema target. Non è una falla di tipo wormable o RCE senza prerequisiti.

Come faccio a sapere se la mia versione è patchata?
Verificare la build dell'agente: 14.0.0.17079 o superiore per on-prem Apex One, 14.0.20731 o superiore per SaaS/SEP Vision One. Il CVE Record indica che le versioni precedenti alla 14.0 non sono nel range affetto.

Cosa significa che l'exploit ITW non specifica quale CVE?
Il bulletin TrendAI riferisce di un tentativo osservato per "una di queste vulnerabilità" della serie, senza identificare se fosse il CVE-2026-45208 o un altro correlato. Questo limita la precisione del rischio specifico per singola falla, ma non riduce l'urgenza di aggiornare l'intera serie.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-326/
• https://www.cve.org/CVERecord?id=CVE-2026-45208
• http://www.zerodayinitiative.com/advisories/
• https://success.trendmicro.com/en-US/solution/KA-0023430
• http://nvd.nist.gov/cvss.cfm?calculator&version=3.0&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H