Il 24 giugno 2026 Trend Micro ha reso pubblica l'advisory ZDI-26-376, relativa a una vulnerabilità di esecuzione remota di codice in Quest NetVault Backup. La falla, identificata come CVE-2026-9787 con punteggio CVSS 8.8, risiede nel componente NVBULogDaemon ed è stata segnalata al vendor il 24 settembre 2025. Il servizio processa messaggi JSON-RPC senza validare le stringhe utente prima di passarle a system call, permettendo command injection con esecuzione nel contesto di SYSTEM.
- La vulnerabilità CVE-2026-9787 nel componente NVBULogDaemon di Quest NetVault Backup ha punteggio CVSS 8.8.
- Il meccanismo di attacco è command injection tramite messaggi JSON-RPC, causato da mancanza di validazione di stringhe utente prima dell'esecuzione di system call.
- L'autenticazione è bypassabile: sebbene richiesta, il meccanismo esistente non impedisce l'exploitation.
- Quest ha rilasciato un aggiornamento, ma le release notes ufficiali non menzionano CVE-2026-9787, ZDI-26-376 o il componente NVBULogDaemon.
Il percorso dell'attacco: da JSON-RPC a SYSTEM
Il servizio NVBULogDaemon espone un'interfaccia JSON-RPC che riceve messaggi da elaborare. Secondo l'advisory ZDI-26-376, il componente non valida correttamente una stringa fornita dall'utente prima di utilizzarla per eseguire una system call. Questa mancanza di sanitizzazione apre la strada alla command injection: un attaccante inserisce comandi arbitrari all'interno del payload JSON-RPC, che vengono eseguiti dal sistema operativo come se fossero istruzioni legittime.
Il risultato è l'esecuzione di codice nel contesto di SYSTEM, l'account con privilegi più elevati su Windows. L'impatto è massimizzato dalla natura del prodotto: NetVault Backup gestisce backup enterprise in ambienti eterogenei, con accesso a storage, database e infrastrutture di disaster recovery. Un compromesso a questo livello espone non solo i dati in transito, ma potenzialmente l'intero ecosistema di backup su cui le organizzazioni basano la continuità operativa.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest NetVault Backup. Although authentication is required to exploit this vulnerability, the existing authentication mechanism can be bypassed." — ZDI Advisory ZDI-26-376
Il bypass dell'autenticazione: un secondo livello di esposizione
Un elemento critico emerge dalla struttura stessa della vulnerabilità. L'advisory specifica che l'autenticazione è richiesta per sfruttare la falla, ma che "the existing authentication mechanism can be bypassed". Questo dettaglio trasforma una potenziale limitazione in un aggravante: non serve trovare credenziali valide, né aggirare un sistema di MFA complesso. L'autenticazione, pur essendo presente nel flusso di accesso, non costituisce un ostacolo efficace.
Il dossier non specifica la tecnica di bypass utilizzata. Non emergono dettagli sul protocollo di autenticazione coinvolto, né su eventuali vulnerabilità correlate nel medesimo componente o in moduli adiacenti. Questa lacuna impedisce di tracciare un percorso di attacco completo e costituisce un limite significativo per la valutazione del rischio su infrastrutture specifiche.
La patch di Quest e il buco nero delle release notes
Quest ha rilasciato un aggiornamento per correggere la vulnerabilità, secondo quanto documentato dall'advisory ZDI-26-376. Tuttavia, la verifica sulle release notes ufficiali del prodotto — versione 14.0.2, documento tecnico pubblicato su support.quest.com — non riporta alcuna menzione di CVE-2026-9787, ZDI-26-376 o del componente NVBULogDaemon. Il documento elenca "security fixes generici" senza dettagli tecnici corrispondenti alla specifica falla.
Questa discrepanza solleva due questioni operative. In primo luogo, gli amministratori di sistema che si affidano esclusivamente alle release notes ufficiali per la pianificazione del patching potrebbero non identificare l'urgenza di aggiornare. In secondo luogo, la mancanza di documentazione specifica rende impossibile verificare a posteriori se un sistema è effettivamente corretto, se non attraverso test di vulnerabilità attivi o contatti diretti con il supporto Quest.
Perché è importante
L'advisory ZDI-26-376 non specifica le versioni esatte di NetVault Backup interessate dalla vulnerabilità. Il dossier non documenta inoltre la presenza di exploit pubblici o dimostrazioni PoC, né dettagli tecnici sul vettore di attacco completo — network, local o adjacent — oltre alla generica capacità di accesso remoto.
Il brief non elenca impatti specifici su disponibilità e integrità oltre alla confidenzialità implicita nell'esecuzione di codice arbitrario. Non emerge inoltre alcuna sovrapposizione infrastrutturale che colleghi questa vulnerabilità ad altri CVE nel medesimo periodo, sebbene il contesto più ampio di audit su NetVault Backup suggerisca un profilo di rischio consolidato per il prodotto.
Il rilascio coordinato dell'advisory è avvenuto il 24 giugno 2026, nove mesi dopo la segnalazione iniziale. Questo intervallo, coerente con le pratiche di disclosure coordinata, lascia una finestra temporale significativa durante la quale la vulnerabilità era nota al vendor ma non pubblica: il dossier non documenta se siano stati rilasciati fix intermedi o avvisi privati ai clienti enterprise.
Il contesto: una catena di falle in NetVault Backup
ZDI-26-376 si colloca in un panorama più ampio di vulnerabilità nel medesimo prodotto. La published list dell'iniziativa Zero Day Initiative documenta almeno nove CVE con punteggio CVSS 8.8 nel periodo considerato, tutte relative a Quest NetVault Backup e con classificazione che include SQL injection, cross-site scripting e authentication bypass. Il componente NVBULogDaemon emerge come punto di ingresso privilegiato, ma è parte di un pattern sistematico.
Questa concentrazione di falle gravi in un arco temporale ristretto suggerisce che l'audit di sicurezza sul prodotto non abbia coperto in modo adeguato le superfici di attacco esposte via rete, in particolare i servizi di gestione e logging che interagiscono direttamente con il sistema operativo. Per le organizzazioni che impiegano NetVault Backup in ambienti critici, la valutazione del rischio non può limitarsi al singolo CVE ma deve estendersi alla postura di sicurezza complessiva del prodotto.
Domande e risposte
- Qual è il percorso di attacco documentato per CVE-2026-9787?
- L'attacco sfrutta messaggi JSON-RPC inviati al servizio NVBULogDaemon, inserendo comandi arbitrari in una stringa non validata che viene passata a una system call. L'autenticazione è bypassabile e l'esecuzione avviene come SYSTEM.
- Perché le release notes ufficiali di Quest sono rilevanti in questo caso?
- Perché non menzionano CVE-2026-9787 né il componente NVBULogDaemon, rendendo difficile per gli amministratori verificare la presenza del fix attraverso i canali ufficiali del vendor.
- Esistono exploit pubblici o attestazioni di attacchi in corso?
- Il dossier non documenta la presenza di exploit pubblici, PoC o attacchi attivi sfruttanti questa specifica vulnerabilità.
La struttura di backup enterprise rappresenta un obiettivo strategico: comprometterla significa ottenere accesso a dati storici, capacità di distruzione di recovery point e leva per estorsioni. CVE-2026-9787 non è una vulnerabilità teorica su un servizio marginale, ma una porta aperta su uno dei sistemi più sensibili dell'infrastruttura IT. La disponibilità della patch, seppur non documentata con la precisione necessaria, impone una verifica attiva agli amministratori che gestiscono installazioni NetVault Backup esposte in rete.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.