CVE-2026-18294: RCE in OriginLab Origin Viewer via file OGW malformato

Il programma di coordinated disclosure TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-553 l'11 agosto 2026, documentando una vulnerabilità di esecuzione remota di codice in OriginLab Origin Viewer. Il difetto risiede nel parser di file OGW, dove la mancata validazione dei dati utente genera corruzione di memoria. OriginLab ha rilasciato un aggiornamento correttivo; il tempo tra segnalazione e disclosure coordinata è stato di circa 125 giorni.

Il meccanismo del difetto: parsing OGW senza boundary check

La falla specifica si annida nel modulo di parsing dei file OGW, formato workbook proprietario di OriginLab. Secondo l'advisory ZDI, "the specific flaw exists within the parsing of OGW files. The issue results from the lack of proper validation of user-supplied data, which can result in a memory corruption condition". La CWE-119 assegnata — Improper Restriction of Operations within the Bounds of a Memory Buffer — conferma la natura classica del difetto: assenza di controlli sui limiti del buffer durante l'elaborazione di input controllato dall'attaccante.

L'impatto è l'esecuzione di codice arbitrario nel contesto del processo Origin Viewer. Il vettore CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H codifica un attacco locale (AV:L) che richiede però interazione utente (UI:R), senza necessità di privilegi pregressi (PR:N). La combinazione conferisce alta severità sui tre assi CIA: confidenzialità, integrità e disponibilità sono tutte compromesse al livello "High".

Timeline e disclosure coordinata: 125 giorni vendor-to-fix

La segnalazione iniziale al vendor è datata 8 aprile 2026. La pubblicazione coordinata dell'advisory è avvenuta l'11 agosto 2026, come documentato nei campi strutturati dell'advisory ZDI. Questo intervallo di circa quattro mesi rientra nei pattern standard dei programmi di coordinated disclosure, dove il ricercatore e l'organizzazione che gestisce il processo concedono al vendor una finestra per lo sviluppo e il rilascio del patch.

Il precedente identificativo interno ZDI era ZDI-CAN-29338, come riporta il CVE Record ufficiale. Il passaggio da identificativo interno a CVE pubblico sottolinea la tracciabilità del processo: la vulnerabilità è transitata attraverso le fasi di verifica, assegnazione di identificatore MITRE, sviluppo della correzione e rilascio coordinato. L'identità del ricercatore scopritore non emerge dalle fonti disponibili.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of OriginLab Origin Viewer. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — ZDI Advisory ZDI-26-553

Software scientifici come superficie di attacco trascurata

Origin Viewer è uno strumento diffuso in ambienti accademici e industriali per la visualizzazione di dati scientifici e grafici. La sua funzione di visualizzatore — spesso installato su workstation di ricerca con accesso a dataset sensibili — lo colloca in una categoria di software che tradizionalmente riceve meno attenzione di sicurezza rispetto ai browser o alle suite office mainstream. Il formato OGW, specifico dell'ecosistema OriginLab, rappresenta un parser di nicchia che accumula debito tecnico: meno tester indipendenti, meno fuzzing automatizzato, codebase mature ma non necessariamente sottoposte a scrutiny continuo.

Il caso CVE-2026-18294 si inserisce in un pattern più ampio: programmi come ZDI stanno mappando sistematicamente queste superfici laterali. La presenza di un advisory dedicato per un visualizzatore scientifico — non per una suite office o un browser — segnala che il perimetro di attenzione dei ricercatori di sicurezza si è allargato oltre i target convenzionali. Per le organizzazioni che operano in R&D, material science, chimica e discipline data-intensive, questo implica che il software specializzato non è più esente dal ciclo di gestione delle patch.

Cosa fare adesso

• Verificare l'installazione di OriginLab Origin Viewer nelle workstation di ricerca e applicare l'aggiornamento rilasciato dal vendor
• Ispezionare i file OGW in ingresso tramite canali email, cloud storage o condivisione tra gruppi di ricerca prima dell'apertura
• Valutare l'implementazione di execution policy sui formati proprietari di nicchia nei sistemi con accesso a dati sensibili o proprietari
• Monitorare i canali ufficiali OriginLab per il changelog dettagliato del patch e le versioni effettivamente corrette

Lettura: quando il visualizzatore diviene vettore

La transizione da "semplice visualizzatore" a "superficie di attacco con RCE" è il cuore del caso. Il CVSS 7.8 senza necessità di privilegi pregressi significa che un utente standard, inducendolo ad aprire un file OGW, concede all'attaccante il controllo completo del processo. In ambienti dove i ricercatori operano con dati pre-pubblicazione, brevetti in fase di sviluppo o risultati industriali confidenziali, il contesto del processo diviene critico: il visualizzatore ha accesso al filesystem, ai dati aperti di recente, potenzialmente a risorse di rete mappate.

La fonte non documenta exploit in-the-wild né attacchi rilevati. Tuttavia, la struttura del vettore — file craftato distribuito via phishing mirato a comunità scientifiche — non richiede infrastrutture complesse. La barriera rimane l'ingegneria sociale, non tecnica. Per i CISO di istituti di ricerca e dipartimenti universitari, la lezione è metodologica: il patching non può più fermarsi ai sistemi operativi e alle suite generaliste, ma deve estendersi alla catena degli strumenti specialistici che costituiscono il workflow scientifico.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-553/
• https://www.cve.org/CVERecord?id=CVE-2026-18294
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti