NI LabVIEW: integer overflow in file VI espone dati sensibili

La Zero Day Initiative ha pubblicato il 9 settembre 2026 l'advisory ZDI-26-630 su una vulnerabilità in NI LabVIEW che sfrutta un integer overflow nel parsing dei file VI per divulgare informazioni sensibili. La stessa falla è catalogata dall'azienda come CVE-2026-18445, con punteggi CVSS 3.1 e 4.0 rispettivamente di 6.6 e 6.9. Il vettore richiede che un utente apra un file VI malevolo o visiti una pagina web compromessa, rendendo l'ingegneria sociale il perno dell'attacco.

La meccanica dell'overflow: cosa succede nel parsing dei file VI

Il problema risiede nel parsing dei file VI, il formato nativo dei progetti LabVIEW. Secondo l'advisory ZDI, «the specific flaw exists within the parsing of VI files. The issue results from the lack of proper validation of user-supplied data, which can result in an integer overflow before reading from memory». La sequenza è precisa: dati malformati nel file non vengono validati, generano un overflow in operazioni aritmetiche intere, e questa condizione porta a letture di memoria controllate dall'attaccante. L'impatto è information disclosure: «an attacker can leverage this vulnerability to disclose information in the context of the current process», come riporta la stessa ZDI. Non emerge alcuna evidenza di remote code execution nel dossier.

Il file VI è il mattone fondamentale dell'ecosistema LabVIEW: contiene il codice sorgente grafico, i pannelli frontali e le definizioni dei blocchi diagram. È un formato proprietario condiviso quotidianamente tra ingegneri, ricercatori e tecnici di automation. Questa ubiquità rende il vettore particolarmente insidioso in ambienti collaborativi dove lo scambio di file è routine.

"This vulnerability allows remote attackers to disclose sensitive information on affected installations of NI LabVIEW. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — Advisory ZDI-26-630

Timeline e scoperta: da giugno al rilascio coordinato

La vulnerabilità è stata segnalata al vendor il 30 giugno 2026, con rilascio pubblico coordinato il 9 settembre 2026. Il ricercatore che ha identificato la falla è Grigory Dorodnov di TrendAI Research, come confermato dall'advisory NI: «Thank you to Grigory Dorodnov of TrendAI Research for reporting this issue and working with us on coordinated disclosure». La disclosure coordinata ha permesso a NI di preparare aggiornamenti per quattro generazioni del prodotto prima della pubblicazione.

Il lasso di circa due mesi e mezzo tra report e disclosure è nella norma per processi coordinati di questo tipo. La Zero Day Initiative, programma di acquisizione vulnerabilità di TrendAI, ha mantenuto la falla riservata fino alla disponibilità dei fix vendor.

Patch e versioni affette: il perimetro della superficie di attacco

L'advisory NI identifica CVE-2026-18445 come «identified as CVE-2026-18445» e fornisce dettagli di patch e versioni. LabVIEW 2026 Q3 e precedenti sono risultati vulnerabili. NI ha rilasciato aggiornamenti specifici: LabVIEW 2026 Q3 Patch 1, LabVIEW 2025 Q3 Patch 5, LabVIEW 2024 Q3 Patch 7 e LabVIEW 2023 Q3 Patch 10. Le versioni 2022 e precedenti «are not in Mainstream Support», come indica esplicitamente il vendor: non ricevono patch attraverso il canale standard di manutenzione.

Il CVSS 3.1 di 6.6 con vettore AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H posiziona la vulnerabilità nel range Medium. Il CVSS 4.0 di 6.9 conferma una gravità comparabile nel nuovo framework di scoring. I punteggi derivano esclusivamente dall'advisory NI, non dal testo ZDI, che non riporta metriche quantitative di severità. Il vettore AV:L (Attack Vector: Local) riflette la necessità di interazione utente, non una limitazione geografica o di rete.

Cosa fare adesso

Per gli ambienti che utilizzano LabVIEW in configurazioni esposte alla condivisione di file tra team:

• Verificare la versione installata e applicare le patch specifiche indicate da NI per il proprio ciclo di rilascio (2026 Q3 Patch 1, 2025 Q3 Patch 5, 2024 Q3 Patch 7, 2023 Q3 Patch 10).
• Valutare la migrazione dalle versioni 2022 e precedenti, fuori da mainstream support e senza patch disponibili per questa vulnerabilità.
• Implementare controlli sullo scambio di file VI in ambito collaborativo, riconoscendo che il formato è vettore di attacco documentato.
• Monitorare l'apertura di file VI provenienti da fonti non verificate, dato che l'interazione utente è condizione necessaria all'exploitation.

Un format proprietario come frontiera dimenticata della sicurezza

I file VI incarnano una tensione strutturale dell'industria 4.0: formati progettati per la funzionalità e la portabilità, la cui superficie di attacco rimane opaca agli utenti finali. Un ingegnere che riceve un VI da un collega non percepisce il rischio di parsing come avverrebbe con un eseguibile o uno script. Eppure il parser è codice eseguibile, con le stesse logiche di validazione che possono fallire.

La discrepanza tra il titolo ZDI («information disclosure») e la formulazione NI che riferisce «integer overflow vulnerability resulting in an out-of-bounds write» solleva un punto di attenzione: le due descrizioni potrebbero riflettere fasi diverse della stessa catena di fallimento, o advisory correlati condividendo root cause e identificatore CVE. Il dossier non chiarisce questa sovrapposizione, che non incide sulla necessità di patching ma segnala come la terminologia tecnica possa variare anche tra fonti primarie convergenti.

Resta non documentato il tipo specifico di informazioni esposte nella memoria del processo LabVIEW — se dati di processo industriali, metadati utente o altro — e non emergono evidenze di exploit pubblici o utilizzi in-the-wild al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-630/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.ni.com/en/support/security/available-critical-and-security-updates-for-ni-software/2026/integer-overflow-vulnerability-resulting-in-an-out-of-bounds-write-in-ni-labview.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti