Il 29 luglio 2026 Trend Micro ha pubblicato l'advisory ZDI-26-483 su una vulnerabilità di command injection nel servizio web di NoMachine. La falla, tracciata come CVE-2026-18264 con punteggio CVSS 8.8, consente esecuzione remota di codice arbitrario attraverso la funzione getstat dopo l'autenticazione. La segnalazione è stata coordinata con il vendor il 24 luglio: cinque giorni tra report e disclosure pubblica, un tempo stretto che non ha lasciato margine per una comunicazione preventiva sui target esposti.
- La vulnerabilità ZDI-26-483 (CVE-2026-18264, CVSS 8.8) risiede nella funzione
getstatdel servizio web di NoMachine, in ascolto sulla porta TCP 4000 - L'autenticazione è condizione necessaria per l'exploit, ma l'esecuzione avviene nel contesto dell'account del servizio con impatto elevato
- NoMachine ha rilasciato un aggiornamento correttivo, ma l'advisory non elenca le versioni specifiche affette
- Il lasso di tempo tra segnalazione al vendor (24 luglio) e pubblicazione coordinata (29 luglio) è stato di cinque giorni
Il meccanismo: da input utente a system call non validata
La falla è localizzata nel servizio web di NoMachine, componente che gestisce l'interfaccia di amministrazione e monitoraggio dell'applicazione di accesso remoto. Secondo l'advisory ZDI, il servizio ascolta sulla porta TCP 4000 in configurazione predefinita.
Il difetto specifico riguarda la funzione getstat, dove una stringa fornita dall'utente viene passata direttamente a una system call senza adeguata validazione. Questa mancanza di sanitizzazione permette l'iniezione di comandi arbitrari nel contesto esecutivo del servizio.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of NoMachine. Authentication is required to exploit this vulnerability." — Advisory ZDI-26-483
L'esecuzione avviene nel contesto dell'account del servizio, non necessariamente con privilegi di amministratore di sistema, ma con sufficiente accesso per compromettere l'integrità dell'installazione NoMachine e potenzialmente muoversi lateralmente nella rete. Il CVSS 8.8 classifica la vulnerabilità come ad alta gravità, un valore che riflette sia la complessità ridotta dell'attacco post-autenticazione sia l'impatto sulla confidenzialità, integrità e disponibilità del sistema.
Autenticazione richiesta: barriera reale, non assoluta
L'advisory specifica esplicitamente che l'autenticazione è prerequisito per sfruttare la vulnerabilità. Questo elemento tecnicamente innalza la soglia di attacco rispetto a una RCE completamente anonima, ma non la abbassa a livello di rischio trascurabile.
NoMachine è comunemente distribuito in ambienti dove le credenziali di accesso sono condivise tra operatori, memorizzate in sistemi di password management centralizzati, o gestite con policy di rotazione lunghe. In questi contesti, la compromissione di un singolo set di credenziali — tramite phishing, keylogging, o reuse da altri breach — espande immediatamente la superficie di attacco. Il CVSS 8.8 non è calcolato su scenari ideali di isolamento perfetto, ma su condizioni realistiche di deployment enterprise.
La porta TCP 4000, inoltre, è spesso esposta su firewall perimetrali in configurazioni di accesso remoto su rete Internet: l'attaccante non necessita di presenza interna pregressa per raggiungere il servizio vulnerabile.
Perché è importante
L'advisory ZDI non specifica le versioni di NoMachine affette dalla vulnerabilità. Questa omissione costituisce un punto di frizione operativo per le organizzazioni che gestiscono installazioni NoMachine su larga scala.
Senza l'indicazione di versioni vulnerabili e corrette, gli amministratori non possono discriminare rapidamente quali endpoint richiedano intervento urgente e quali siano già protetti. Il dossier non documenta né il numero di build correttivo né le modalità di distribuzione della patch. La fonte cita unicamente che "NoMachine has issued an update to correct this vulnerability" senza arricchire il dato con identificativi di release o istruzioni di verifica.
Altrettanto non documentato è il vettore di attacco esatto: l'advisory non descrive il parametro HTTP, il formato della richiesta, o l'encoding necessario per innescare la injection. Questa reticenza è coerente con la pratica ZDI di divulgazione coordinata, ma lascia i difensori senza indicatori di compromesso specifici per la ricerca attiva nei log.
Il brief non riporta evidenza di exploit in-the-wild né attribuzione a threat actor noti. L'assenza di questi dati non equivale a sicurezza: il CVSS 8.8 e la natura post-autenticazione della falla la rendono appetibile per attori che già dispongano di credenziali compromesse o che operino in contesti di accesso legittimo degenerato.
Il contesto: NoMachine nel panorama dell'accesso remoto
NoMachine occupa una nicchia specifica nel mercato dell'accesso remoto, con architettura proprietaria che implementa il proprio protocollo NX su base codice open history. La differenziazione rispetto a soluzioni come RDP, VNC o piattaforme SaaS moderne risiede in performance e integrazione con ambienti Linux/Unix, segmenti dove mantiene installazioni consolidate in istituzioni accademiche, centri di ricerca e infrastrutture legacy industriali.
Questo profilo di deployment influenza la percezione del rischio. Le organizzazioni che operano NoMachine spesso lo fanno su sistemi che non seguono cadenze di patching aggressive, per compatibilità con workload scientifici o per vincoli di manutenzione programmata. L'arco di cinque giorni tra segnalazione e disclosure non ha consentito un ciclo di test interno strutturato per questi ambienti.
L'advisory non menziona l'identità del ricercatore che ha scoperto e segnalato la vulnerabilità. ZDI opera tipicamente su programma di bug bounty con retribuzione proporzionale alla gravità: il CVSS 8.8 suggerisce un payout significativo, ma il dossier non contiene cifre né riferimenti al programma di reward specifico.
Cosa la fonte non specifica
Il provvedimento citato non fornisce indicazioni su controlli di sicurezza aggiuntivi, workarounds temporanei, o configurazioni di mitigazione alternative all'aggiornamento. Non emerge documentazione su restrizioni di accesso alla porta 4000, filtri di rete applicabili, o monitoring di eventi anomali sulla funzione getstat.
Il brief non riporta inoltre se il fix corregga la validazione dell'input nella funzione specifica, se modifichi l'architettura del servizio web, o se introduca altre modifiche comportamentali rilevanti per gli utenti. L'impatto della patch su configurazioni custom o su integrazioni di terze parti con il servizio NoMachine rimane non quantificato.
Per le organizzazioni che non dispongono di inventario automatico delle versioni software installate, la verifica della presenza della vulnerabilità richiede intervento manuale su ciascun endpoint. Il dossier non offre strumenti per accelerare questo processo.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-483/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-18264
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.