Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Il 13 novembre 2026 Trend Micro ha pubblicato l'advisory ZDI-26-1008 relativo a una vulnerabilità nel chip Qualcomm QCA7005, componente powerline usato in comunicazioni su linea elettrica. Il difetto, scoperto il 19 febbraio 2026 dai ricercatori di Fuzzware.io e presentato nel contesto Pwn2Own, permette esecuzione di codice arbitrario con semplice presenza fisica e nessuna autenticazione. Il CVE assegnato è il 2026-25293, con punteggio CVSS di 6.8 secondo la lista pubblicata dalla Zero Day Initiative.
- Un heap-based buffer overflow nel parsing dei messaggi GreenPhy management consente sovrascrittura di memoria e controllo del microcontrollore powerline.
- L'attacco richiede presenza fisica dell'operatore e nessuna forma di autenticazione; il vettore è locale ma l'impatto è esecuzione di codice.
- Qualcomm Technologies ha rilasciato aggiornamento correttivo, ma versioni firmware specifiche interessate non sono dettagliate nelle fonti.
- La vulnerabilità è stata dimostrata da Tobias Scharnowski, Felix Buchmann e Kristian Covic di Fuzzware.io nel circuito Pwn2Own.
"This vulnerability allows physically present attackers to execute arbitrary code on affected installations of Qualcomm Technologies QCA7005 powerline chips. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-1008
Come funziona il difetto nel parsing GreenPhy
Il nucleo tecnico risiede nel trattamento dei messaggi di gestione GreenPhy proprietari del vendor. Il microcontrollore QCA7005, progettato per comunicazione su linea elettrica, accetta pacchetti management vendor-specific senza convalidare preventivamente la lunghezza dei dati utente. Il buffer di destinazione, allocato dinamicamente in heap con dimensione fissa, viene sovrascritto oltre i propri confini durante l'operazione di copia.
La condizione di heap overflow è classica nella sua struttura, ma insidiosa nel contesto: il codice esegue in un ambiente con risorse limitate, tipico dei controllori powerline, dove meccanismi di mitigazione moderni sono spesso assenti o deboli. L'assenza di autenticazione per il canale di ingresso abbassa ulteriormente la soglia di attacco: chiunque possa interfacciarsi fisicamente con il dispositivo dispone di un percorso diretto verso l'esecuzione di codice.
Perché GreenPhy e il powerline contano per l'infrastruttura critica
Lo standard GreenPhy è emerso come protocollo di riferimento per la comunicazione su rete elettrica in ambito vehicle-to-grid e gestione energetica. Il chip QCA7005 di Qualcomm è uno dei controllori più diffusi in questa nicchia, integrato in unità di controllo energetico, sistemi di ricarica per veicoli elettrici e dispositivi di gestione domotica. La comunicazione powerline sfrutta l'infrastruttura elettrica esistente, eliminando il bisogno di cablaggio dedicato ma espandendo la superficie di attacco verso un medium condiviso e fisicamente accessibile.
La presenza fisica richiesta dall'exploit non esclude scenari di impatto rilevante. Negli ambienti dove il chip è distribuito, l'accesso locale a quadri elettrici, colonnine di ricarica o unità terminali è realistico per insider, manutentori non autorizzati o attori in grado di compromettere la catena logistica. Il vettore non è remoto, ma la persistenza ottenuta su un nodo di comunicazione powerline può trasformarsi in piattaforma per manipolazione del traffico energetico o interruzione di servizio.
La catena di disclosure: da febbraio al rilascio coordinato
La timeline documentata mostra un percorso di disclosure ordinario ma esteso: il report al vendor è datato 19 febbraio 2026, con pubblicazione coordinata il 13 novembre 2026, circa nove mesi dopo. Questo intervallo è compatibile con i cicli di patch per componenti embedded e semiconduttori, dove la produzione di microcode corretto richiede validazione estesa. Qualcomm ha rilasciato aggiornamento correttivo, ma le fonti non specificano versioni firmware interessate né dettagli tecnici della fix.
L'assegnazione del CVE-2026-25293 e il punteggio CVSS 6.8 emergono dalla lista pubblicata ZDI piuttosto che dal corpo testuale dell'advisory, dove questi identificatori non compaiono esplicitamente. Il punteggio riflette la natura locale del vettore e il requisito di presenza fisica, che moderano la severità pur mantenendo impatto elevato su confidenzialità, integrità e disponibilità. Non emergono informazioni su sfruttamento in-the-wild al momento della pubblicazione.
Cosa fare adesso
Gli operatori che gestiscono dispositivi con chip QCA7005 devono verificare la disponibilità dell'aggiornamento correttivo rilasciato da Qualcomm Technologies e pianificarne il deploy su tutte le unità accessibili fisicamente. La priorità deve riservarsi ai nodi powerline installati in location non sorvegliate o facilmente raggiungibili: colonnine di ricarica pubbliche, quadri elettrici in aree condivise, unità terminali in siti remoti.
Le organizzazioni devono mappare l'inventario dei dispositivi che integrano il chip QCA7005, operazione non banale dato che il componente è spesso embedded senza etichettatura visibile. Devono inoltre limitare l'accesso fisico ai punti di interconnessione powerline, trattando i controllori GreenPhy come asset critici anche quando il CVSS 6.8 suggerisce severità media. Il requisito di presenza fisica non elimina il rischio: lo sposta verso controlli di sicurezza fisica e gestione della supply chain, aree tradizionalmente meno mature della sicurezza logica.
Per i ricercatori e i red team, la vulnerabilità conferma che il parsing dei messaggi management vendor-specific rimane una superficie di attacco fertile nei controllori specializzati. L'analisi del firmware QCA7005, dove disponibile, deve includere la verifica della corretta validazione delle lunghezze nei frame GreenPhy anche dopo l'applicazione della patch.
Domande frequenti
L'attacco può essere eseguito da remoto?
No. Le fonti indicano esplicitamente che l'attacco richiede presenza fisica dell'operatore. Il vettore è locale, non di rete.
Quali dispositivi sono effettivamente a rischio?
L'advisory identifica il chip QCA7005 di Qualcomm Technologies. Le fonti non elencano modelli commerciali, versioni firmware o prodotti OEM specifici che integrano il componente.
Il punteggio CVSS 6.8 significa che la vulnerabilità non è grave?
Il punteggio riflette la limitazione del vettore fisico, ma l'impatto tecnico resta esecuzione di codice arbitrario. In infrastrutture dove l'accesso locale può essere ottenuto da insider o tramite compromissione fisica, il rischio operativo può eccedere la lettura puramente metrica.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.