Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Una vulnerabilità nel servizio Backblaze Personal Computer Backup consente a un attaccante locale con privilegi limitati di compromettere l'avviabilità del sistema operativo. La falla, pubblicata il 9 settembre 2026 dall'advisory ZDI-26-628 e tracciata come CVE-2026-19820, sfrutta una classica debolezza nella risoluzione dei link simbolici per indurre il software di backup a sovrascrivere file arbitrari, inclusi componenti critici di Windows.
- La vulnerabilità ZDI-26-628 interessa il componente bzreports del Backblaze Service su Windows, eseguito con privilegi elevati
- Un attaccante locale con codice a basso privilegio crea un symlink che il servizio segue durante le operazioni di backup, sovrascrivendo file di sistema
- Il record CVE-2026-19820 assegna un punteggio CVSS 4.0 pari a 5.8 (MEDIUM) e classifica la falla come CWE-59 Improper Link Resolution Before File Access
- Secondo il record CVE, l'exploit può rendere il sistema non avviabile; la disclosure coordinata è avvenuta dopo circa 154 giorni dal report al vendor
Il meccanismo: quando il backup segue il link sbagliato
La specifica falla risiede nel Backblaze Service, il processo di sistema che gestisce le operazioni di backup e reporting. Durante le operazioni legate a bzreports, il servizio accede ai file senza risolvere preventivamente i link simbolici, una lacuna classificata come CWE-59: Improper Link Resolution Before File Access.
Un attaccante con accesso locale e capacità di eseguire codice a basso privilegio crea un link simbolico all'interno della cartella monitorata da Backblaze. Il symlink punta a un file di sistema Windows. Quando il servizio, eseguito con privilegi elevati, elabora quella cartella, segue il link e sovrascrive il file di destinazione con i dati di backup. L'operazione avviene trasparentemente, nel contesto normale delle funzionalità del software.
"By creating a symbolic link, an attacker can abuse the service to overwrite arbitrary files." — Advisory ZDI-26-628
L'impatto dichiarato è una condizione di denial-of-service sul sistema interessato. Secondo il record CVE, la sovrascrittura di file di sistema critici può arrivare a rendere il sistema non avviabile. La vulnerabilità non consente esecuzione remota di codice né escalation di privilegi diretta: il perimetro rimane locale, ma le conseguenze sono sistemiche.
Il profilo di rischio: perché un CVSS 5.8 nasconde un impatto severo
Il punteggio CVSS 4.0 di 5.8, classificato MEDIUM, può apparire moderato. La metrica riflette tuttavia i vincoli dell'attacco: accesso locale richiesto, interazione limitata con un servizio esistente, assenza di confidenzialità o integrità diretta dei dati utente come obiettivo primario. L'impatto sulla disponibilità è invece marcato, con conseguenze che superano il semplice malfunzionamento dell'applicazione.
Il record CVE specifica che l'exploit richiede "una modifica a livello amministratore che comporta l'assenza di specifici controlli di sicurezza di Windows OS". Questo prerequisito non alleggerisce il rischio per le installazioni che operano in condizioni standard, ma indica che la configurazione target include una variabile di sistema: l'ambiente in cui il controllo è già stato rimosso o bypassato.
Il profilo di attacco è rappresentativo di una categoria di minacze sottovalutata nei software di sistema. I servizi di backup richiedono privilegi elevati per accedere all'intero filesystem, il che li espone naturalmente a tecniche di abuso del filesystem. La symlink è un vettore noto da decenni, la cui mitigazione richiede una validazione esplicita dei percorsi prima dell'accesso.
La disclosure: cinque mesi di coordinamento senza patch confermata
La cronologia documentata mostra un intervallo di circa 154 giorni tra il report iniziale e la pubblicazione coordinata. Il vendor ha ricevuto la segnalazione il 7 aprile 2026; l'advisory ZDI è stato rilasciato pubblicamente il 9 settembre 2026. Nessuna delle fonti disponibili conferma il rilascio di una patch correttiva da parte di Backblaze nel corso di questo intervallo.
L'advisory ZDI non specifica versioni del prodotto interessate né fornisce un URL diretto a un aggiornamento di sicurezza. Questa assenza, combinata con la mancanza di dettagli su patch disponibili, lascia gli utenti senza un percorso di mitigazione documentato. Il record CVE non integra informazioni aggiuntive sullo stato della correzione.
"A vulnerability in the Backblaze Client allows a local user to make the system not bootable by creating a link from Backblaze's folder to Windows OS system files during a backup." — CVE Record CVE-2026-19820
L'identità del ricercatore che ha scoperto e segnalato la falla non risulta dagli advisory consultati. Il programma ZDI, gestito da Trend Micro, ha proceduto alla coordinazione standard senza attribuzione pubblica.
Il pattern sistemico: quando il software di protezione diventa vettore
Questa vulnerabilità rientra in un pattern ricorrente nel software di sistema Windows: servizi che operano con privilegi elevati e accedono a percorsi controllabili da utenti non privilegiati. Il backup automatico, per definizione, deve attraversare directory potenzialmente manipolate. La mancata validazione dei link simbolici trasforma questa necessità funzionale in una superficie d'attacco.
La differenza rispetto a una semplice cancellazione di file da parte di un utente malintenzionato sta nel meccanismo di induzione: l'attaccatore non agisce direttamente sui file di sistema, ma configura un artefatto nel proprio spazio utente che il servizio fidato esegue con privilegi superiori. Questo è tecnicamente un attacco di tipo TOCTOU (Time-of-Check to Time-of-Use) applicato alla risoluzione dei path.
Il record CVE introduce un elemento di cautela nel proprio testo: il prerequisito di una modifica amministrativa che rimuove controlli di sicurezza. Questo potrebbe riferirsi a configurazioni che disabilitano la protezione dei link simbolici in specifici contesti, o a condizioni in cui il servizio opera con privilegi più ampi del necessario. Il dossier non chiarisce la natura esatta di questa modifica, né la sua diffusione nelle installazioni reali.
Cosa sappiamo e cosa manca
Il dossier consolidato conferma il meccanismo tecnico, le condizioni di attacco e la gravità del potenziale impatto. Restano invece non documentati: le versioni specifiche di Backblaze Personal Computer Backup risultate vulnerabili, l'esistenza di una patch rilasciata dal vendor, la presenza di un exploit pubblico o di una dimostrazione di concetto, il numero di installazioni potenzialmente esposte, e qualsiasi evidenza di sfruttamento in natura.
Per gli utenti del servizio, la situazione presenta un'incertezza operativa. Senza indicazioni sulle versioni corrette, non è possibile determinare se l'installazione corrente sia protetta o meno. L'assenza di comunicazioni ufficiali da parte di Backblaze nel dossier disponibile non permette di integrare dichiarazioni vendor nella valutazione del rischio.
Il programma ZDI, attraverso la sua lista advisory upcoming, ha confermato che ZDI-26-628 rientra nel ciclo regolare di disclosure coordinata. Questo contesto, puramente procedurale, non aggiunge elementi tecnici ma posiziona la vulnerabilità all'interno di un flusso di gestione delle zero-day strutturato e peer-reviewed.
Fonti
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.