NoMachine: SSRF su UDP 4443 espone server enterprise senza autenticazione

Il 16 settembre 2026 il TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-712 per una vulnerabilità nel servizio nxhtd di NoMachine. La falla consente attacchi SSRF senza autenticazione sfruttando la mancata validazione di URI su UDP porta 4443, con rischio di richieste arbitrarie lato server nel contesto dell'account di servizio.

I fatti verificati

Fonte primaria: L'advisory ZDI-26-712 è l'unica fonte strutturata con dettagli tecnici su questa vulnerabilità. Il record CVE-2026-92210 è in stato reserved e non aggiunge informazioni operative.

NoMachine è una piattaforma di accesso remoto enterprise. Il servizio nxhtd è il componente web che gestisce il traffico HTTP/HTTPS dell'applicazione. L'advisory ZDI-26-712 identifica la falla specificamente in questo servizio.

Il servizio vulnerabile ascolta su UDP porta 4443 di default. Le policy di firewall enterprise sono tipicamente costruite per filtrare e monitorare il TCP: connessioni stateful, handshake a tre vie, sessioni tracciabili. UDP è connectionless e spesso trascurato nelle regole di segmentazione di rete.

"This vulnerability allows remote attackers to initiate arbitrary server-side requests on affected installations of NoMachine. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-712

Secondo l'advisory ZDI, la falla deriva dalla mancata validazione di un URI prima che il servizio acceda alle risorse richieste. In un attacco SSRF, l'attaccante invia input che l'applicazione reinterpreta come richieste verso destinazioni scelte dall'attaccante.

L'assenza di requisiti di autenticazione elimina ogni barriera di ingresso. L'advisory specifica che l'attaccante può iniziare richieste nel contesto dell'account di servizio che esegue nxhtd. Il dossier ZDI non specifica quali risorse precise siano accessibili in questo contesto.

Analisi: perché il vettore UDP-SSRF è insolito

Nota editoriale: questa sezione contiene inferenze basate sulle pratiche comuni di sicurezza enterprise, non su dati presenti nel brief.

La combinazione UDP-SSRF è atipica per un prodotto di accesso remoto. In scenari tipici, le infrastrutture enterprise monitorano intensivamente il traffico TCP su porte di servizio note. Il traffico UDP su porte dedicate come la 4443 può ricevere minore attenzione nei controlli di sicurezza standard.

Il protocollo UDP, essendo connectionless, presenta caratteristiche che in alcune configurazioni di rete possono complicare il logging e il filtraggio stateful. Questo non implica che gli strumenti di analisi siano inadeguati, ma che il vettore può richiedere regole di monitoraggio specifiche.

La scelta di UDP per un servizio web come nxhtd è tecnicamente legittima ma non convenzionale. HTTP/3 utilizza QUIC su UDP, ma nxhtd è un servizio tradizionale HTTP/HTTPS. La porta 4443 è talvolta usata come alternativa HTTPS non standard, ma l'advisory ZDI conferma esplicitamente il protocollo UDP.

Timeline disclosure e patch rilasciate

La disclosure segue il modello coordinato del TrendAI Zero Day Initiative. La segnalazione al vendor è avvenuta il 7 agosto 2026; il rilascio pubblico il 16 settembre 2026. L'intervallo di circa 40 giorni è compatibile con i cicli di sviluppo e test di NoMachine.

Le versioni che correggono la vulnerabilità sono:

• NoMachine v10.1.7 (release corrente)
• NoMachine v9.9.6 (branch di manutenzione)
• NoMachine v8.27.1 (branch legacy supportato)

Il CVE assegnato è CVE-2026-92210, attualmente in stato reserved nel database MITRE. Il record CVE non è ancora popolato con dettagli tecnici aggiuntivi.

Il vendor ha pubblicato le patch su tre branch contemporaneamente. Questo pattern indica che la vulnerabilità interessa codice condiviso tra le diverse linee di release, non una regressione isolata.

Cosa fare adesso

Per gli amministratori che gestiscono infrastrutture NoMachine, le azioni prioritarie derivano direttamente dall'advisory ZDI:

• Verificare la versione installata e aggiornare a v10.1.7, v9.9.6 o v8.27.1 a seconda del branch in uso
• Rivedere le regole di firewall per il traffico UDP verso la porta 4443: limitare l'accesso ai soli host autorizzati dove possibile
• Monitorare i log del servizio nxhtd per richieste anomale che possano indicare tentativi di SSRF

La verifica della versione è il primo passo obbligatorio. Gli ambienti enterprise con deployment distribuiti dovrebbero usare strumenti di inventario per identificare istanze NoMachine non aggiornate.

Il filtraggio UDP sulla porta 4443 deve essere esplicito nelle policy di sicurezza. Molte configurazioni firewall trattano UDP in modo permissivo per default: questa vulnerabilità richiede una regola dedicata.

Limiti e incertezze documentate

L'advisory ZDI-26-712 non specifica alcuni elementi rilevanti per la valutazione del rischio:

• Non è disponibile un punteggio CVSS né un vector di severità
• Non è documentata evidenza di exploit in-the-wild
• Le versioni intermedie non sono esplicitamente coperte dall'advisory: si presume che tutte le release precedenti ai fix siano vulnerabili, ma il vendor non ha pubblicato una matrice completa
• Il contesto dell'account di servizio potrebbe consentire accesso a risorse interne, a seconda della configurazione del sistema; l'advisory non elenca quali risorse siano coinvolte
• Non sono stati pubblicati dettagli tecnici del payload né proof-of-concept

Questi limiti sono intrinseci alla fase di disclosure coordinata e possono essere colmati da aggiornamenti futuri del vendor o del record CVE.

Chiusura

La vulnerabilità ZDI-26-712 rappresenta un caso significativo di SSRF non autenticato su protocollo UDP in un prodotto enterprise diffuso. La rapidità della risposta del vendor — tre linee di release patchate in circa 40 giorni — indica priorità operativa. Per le organizzazioni che utilizzano NoMachine, l'aggiornamento tempestivo resta l'unica mitigazione documentata.

Il TrendAI Zero Day Initiative continua a gestire la disclosure coordinata. Eventuali aggiornamenti sul punteggio CVSS o su exploit in-the-wild saranno pubblicati attraverso i canali ufficiali ZDI e nel record CVE-2026-92210 quando popolato.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-712/
• https://www.cve.org/CVERecord?id=CVE-2026-92210
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html