Exploit pubblico per CVE-2026-84115: Cleo Harmony a rischio attacco immediato

Un exploit per la vulnerabilità di autenticazione bypass CVE-2026-84115 in Cleo Harmony è stato pubblicato, elevando la minaccia concreta per le organizzazioni che ancora eseguono versioni dalla 5.8.1.0 alla 5.8.1.10. Il 2 settembre 2026, l'esposizione del codice di attacco — combinata con la riproduzione confermata da WatchTowr e con il profilo storico di Cleo come bersaglio preferito del ransomware Cl0p — rende la patch urgente quanto mai.

Come funziona l'attacco: manipolazione del JWT refresh token

La vulnerabilità risiede nel componente JWT Refresh Token Handler, esposto attraverso l'endpoint /api/connections di Cleo Harmony. L'attacco sfrutta la manipolazione dell'argomento Bearer nell'header HTTP per bypassare il controllo di autenticazione, ottenendo privilege escalation remota.

Secondo VulnDB, citato da SecurityWeek, la strategia di exploitation "prevede tipicamente l'intercettazione del traffico legittimo o la forgiatura di nuove richieste in cui la logica del JWT refresh token viene bypassata attraverso token Bearer malformati o replayed". Questo meccanismo permette a un attaccante remoto di aggirare i controlli di autenticazione senza credenziali valide.

Il vettore CVSS 4.0 è AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L/E:P, dove il flag E:P (Exploit:Proof) conferma l'esistenza di codice funzionante. L'attacco è condotto da remoto, non richiede privilegi preesistenti né interazione utente, e impatta riservatezza, integrità e disponibilità del sistema, sebbene con impatto locale sui sottocomponenti secondari.

La conferma di WatchTowr: riproduzione e allarme

WatchTowr, società di ricerca sulla sicurezza, ha riprodotto la vulnerabilità e ha esortato a una reazione rapida. La conferma indipendente dell'exploitability pratica elimina ogni margine di incertezza sulla pericolosità della minaccia: il codice pubblicato funziona contro le istanze non patchate.

"We've already reproduced the vulnerability"

La stessa fonte qualifica Cleo Harmony come "a favorite ransomware gang target", posizionando il prodotto in un contesto di minaccia già convalidato da exploit passati. Questa profilazione non è retorica: nel tardo 2024, il gruppo ransomware Cl0p ha sfruttato una vulnerabilità di prodotto Cleo per rubare dati, dimostrando che l'ecosistema è monitorato attivamente da operatori ad alto impatto.

Il silenzio di Cleo: patch senza trasparenza

Il vendor ha rilasciato la versione 5.8.1.11 il 15 maggio 2026, ma le release notes ufficiali citano generiche "security-related improvements" senza menzionare esplicitamente CVE-2026-84115 né dettagliare il meccanismo corretto. Cleo giustifica questa scelta con una politica di non disclosure: "For customer protection, Cleo does not disclose all security update details".

Questo approccio, pur difendibile sotto il profilo della responsabilità coordinata, genera un asimmetria informativa. Gli attaccanti che acquisiscono l'exploit pubblico dispongono di intelligence tecnica completa, mentre i difensori aziendali devono ricostruire la minaccia attraverso fonti terze come VulnDB, WatchTowr e i database CVE. L'assenza di advisory strutturato dal vendor rallenta la valutazione del rischio e la prioritizzazione delle risorse di sicurezza.

Il dossier non documenta misure correttive alternative né workaround temporanei rilasciati da Cleo. La fonte non specifica inoltre se il vendor abbia notificato direttamente i clienti enterprise vulnerabili o se l'aggiornamento sia stato distribuito attraverso canali automatici.

Cosa fare adesso

• Aggiornare immediatamente alla versione 5.8.1.11 tutte le istanze Cleo Harmony comprese nel range 5.8.1.0-5.8.1.10, verificando la build effettivamente in esecuzione.
• Rivendicare l'esistenza di exploit pubblico nei briefing interni di sicurezza, dando priorità alla verifica di esposizione internet-facing del servizio /api/connections.
• Consultare VulnDB e le analisi di WatchTowr per intelligence tecnica sulle IoC e sulle pattern di traffico associati alla manipolazione del Bearer token, data l'assenza di dettagli nel canale ufficiale.
• Ricostruire la cronologia degli accessi a Cleo Harmony dal rilascio della versione 5.8.1.0, con particolare attenzione a richieste anomale all'endpoint /api/connections che possano indicare tentativi di bypass autenticazione.

Perché la storia di Cl0p conta

Il precedente del tardo 2024 non è un elemento narrativo accessorio. Cl0p ha dimostrato che le vulnerabilità in Cleo producono compromissioni con esfiltrazione dati, non solo accesso non autorizzato. La riproduzione confermata di WatchTowr, combinata con l'exploit pubblico, abbassa drasticamente la barriera all'entry per operatori di ransomware che possano replicare la catena di attacco già collaudata.

Il dossier non conferma exploitation attiva al momento della pubblicazione, né identifica il ricercatore originale della vulnerabilità. Il numero di organizzazioni effettivamente esposte rimane sconosciuto. Questi limiti non attenuano l'urgenza: la congiunzione di exploit proof-of-concept, riproduzione indipendente e profilo storico del target costituisce un triangolo di rischio sufficiente a giustificare azione immediata.

Domande frequenti

Cleo Harmony è esposto tipicamente su internet?

Il dossier non specifica la superficie di attacco effettiva. Cleo Harmony è una piattaforma di managed file transfer; molte implementazioni enterprise sono accessibili da reti esterne per scambio dati con partner. La valutazione dell'esposizione è responsabilità di ciascuna organizzazione.

Perché il CVSS non riporta un punteggio numerico aggregato?

Le fonti forniscono il vettore CVSS 4.0 completo ma non esplicitano uno score numerico sintetico. Secondo le regole di calibrazione, non pubblichiamo score non dichiarati testualmente dalle fonti.

Il fix del 15 maggio 2026 risolve altre vulnerabilità?

Le release notes ufficiali citano "security-related improvements" al plurale, ma non dettagliano quante né quali. Il dossier non documenta CVE aggiuntivi corretti nella stessa release.

Fonti

• https://www.securityweek.com/exploit-published-for-fresh-cleo-harmony-vulnerability/
• https://radar.offseq.com/threat/exploit-published-for-fresh-cleo-harmony-vulnerability-71a7c1a9a22869f9
• https://radar.offseq.com/threat/cve-2026-84115-improper-privilege-management-in-cleo-harmony-9d5ce250ea59f7c1
• https://nvd.nist.gov/vuln/detail/cve-2026-84115
• https://support.cleo.com/hc/en-us/articles/30258468834583-Cleo-Harmony-5-8-1-Release-Notes#Version58111
• https://podcast.securityweek.com/
• https://www.securityweek.com/wp-content/uploads/2022/01/SecurityWeek_Dark_News.png