Luxion KeyShot: vulnerabilità RCE nei file BIP, patch disponibile

Nota editoriale: Questa analisi si basa sull'advisory ZDI-26-748 di TrendAI Zero Day Initiative. Il record CVE-2026-92202 risulta assegnato ma non ancora popolato dalla CNA assegnataria. I dettagli tecnici e la timeline riflettono esclusivamente il contenuto documentato da ZDI.

Luxion ha rilasciato un aggiornamento correttivo per una vulnerabilità di esecuzione remota di codice nel parsing dei file BIP di KeyShot, resa pubblica il 23 settembre 2026 dall'advisory ZDI-26-748. La falla, tracciata come CVE-2026-92202 con punteggio CVSS 7.8, permette il caricamento di librerie da percorso non sicuro durante l'apertura di un file BIP malevolo.

Il meccanismo: da file 3D a esecuzione codice

La vulnerabilità risiede nel parser dei file BIP di KeyShot, formato proprietario utilizzato per archiviare scene di rendering 3D, materiali e asset di progettazione. Secondo l'advisory ZDI, la causa radice è un difetto nel caricamento di libreria da percorso non sicuro durante il parsing dei file BIP.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Luxion KeyShot. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — ZDI Advisory ZDI-26-748

L'advisory ZDI specifica che il codice viene eseguito nel contesto del processo corrente. Il carico utile non viaggia all'interno del file BIP in sé, ma sfrutta il comportamento del parser alla ricerca di dipendenze esterne. Il file apparentemente legittimo funge da trigger, mentre l'esecuzione effettiva avviene tramite libreria collocata in un percorso non sicuro.

Questa classe di vulnerabilità, denominata "Uncontrolled Search Path Element" nella terminologia ZDI, è particolarmente insidiosa perché non richiede exploit di memoria complessi. Il parser cerca librerie in directory controllabili dall'attaccante, caricando codice malevolo con i privilegi del processo KeyShot in esecuzione.

Contesto di rischio nel settore del design industriale

KeyShot è distribuito in ambiti dove la catena di fornitura scambia file di progettazione con clienti, fornitori e studi esterni: automotive, consumer electronics, packaging design, architettura commerciale. In questi flussi, il file BIP è formato di scambio frequente.

L'advisory ZDI non specifica se il vettore richieda esclusivamente file locali o se una pagina web possa innescare il caricamento via browser. Questa indeterminazione lascia aperta la valutazione del perimetro di rischio per organizzazioni che pubblicano visualizzatori 3D o preview online.

Se un attore minaccioso avesse accesso alla catena di distribuzione file BIP, potrebbe inserire un file malevolo in un flusso di scambio apparentemente ordinario. L'advisory ZDI non documenta exploit in-the-wild né identifica il ricercatore che ha scoperto la falla.

Cosa fare adesso

Verificare la versione installata. Luxion ha rilasciato aggiornamento correttivo secondo l'advisory ZDI. L'advisory non indica versioni specifiche vulnerabili né versione che corregge: è necessario consultare il portale di supporto Luxion per identificare il build patched.

Revisionare i flussi di ricezione file BIP. Dato che l'exploitation richiede apertura di file malevolo, isolare o scannerizzare i file BIP in ingresso prima dell'apertura in ambienti di progettazione principali.

Valutare l'esposizione dei visualizzatori web. Se l'organizzazione ospita preview o visualizzatori KeyShot accessibili via browser, verificare se il componente client-side effettua parsing BIP e se è suscettibile al medesimo vettore di caricamento libreria.

Monitorare il record CVE. Il record CVE-2026-92202 risulta assegnato ma non ancora popolato. La pubblicazione dei dettagli completi da parte della CNA assegnataria potrebbe fornire informazioni aggiuntive su versioni affette e mitigazioni specifiche.

Il gap di 148 giorni e i limiti della divulgazione

La timeline tra segnalazione al vendor e rilascio pubblico — 29 aprile 2026, 23 settembre 2026 — ammonta a 148 giorni. Questo intervallo rientra nella finestra tipica di divulgazione coordinata, ma lascia gli utenti senza indicazioni pubbliche durante il periodo di embargo.

L'advisory ZDI non documenta exploit in-the-wild. Il record CVE-2026-92202 risulta assegnato ma non ancora popolato dalla CNA assegnataria, lasciando il dettaglio tecnico affidato esclusivamente al documento ZDI.

Resta inoltre non specificato se la patch avvenga tramite aggiornamento automatico o richieda azione manuale di download e installazione. Per software distribuito in ambienti enterprise con deployment gestito, questa omissione complica la pianificazione del rollout correttivo.

Domande frequenti

KeyShot usa solo file BIP o anche altri formati?
KeyShot supporta molteplici formati di importazione; l'advisory ZDI riguarda specificamente il parser dei file BIP proprietari di Luxion.

Il CVSS 7.8 è considerato alto?
Sì, secondo la scala CVSS v3.1 un punteggio 7.0-8.9 rientra nella categoria "High". Il valore 7.8 riflette impatto significativo su confidenzialità, integrità e disponibilità.

È necessario privilegio amministrativo per sfruttare la vulnerabilità?
No. L'advisory ZDI indica esecuzione nel contesto del processo corrente, che tipicamente opera con privilegi dell'utente loggato.

Il CVE record è completo?
No. Il record CVE-2026-92202 risulta assegnato ma non ancora popolato dalla CNA assegnataria al momento dell'analisi.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-748/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-92202
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html