OpenAI Codex: RCE via .git/config, patch disponibile

OpenAI ha rilasciato una correzione per una vulnerabilità di esecuzione remota di codice nel suo IDE AI-assisted Codex Desktop. La falla, tracciata come CVE-2026-19593 e ZDI-26-651, è stata scoperta nel contesto dell'evento Pwn2Own. Un file .git/config modificato può aggirare la sandbox dei comandi di Codex, eseguendo programmi arbitrari con i privilegi dell'utente senza workspace-trust prompt né command approval. La pubblicazione coordinata è avvenuta il 10 settembre 2026, circa cento giorni dopo la segnalazione al vendor.

Come funziona la catena: da cartella innocua a RCE

Il problema nasce dalla mancata sanitizzazione delle configurazioni Git. Quando Codex Desktop apre una cartella di lavoro, ispeziona automaticamente il repository Git presente. Un .git/config alterato può impostare attr.tree con un filter clean o process che punta a un programma controllato dall'attaccante. Git, invocato dal tool AI, esegue quel programma.

Secondo il record CVE-2026-19593, "the program runs outside Codex's command sandbox with the signed-in user's privileges, without a workspace-trust prompt, command approval, or interaction with a model". La sandbox dei comandi di Codex viene scavalcata non per un difetto diretto del suo isolamento, ma per una catena di delega: Codex invoca Git, che esegue codice arbitrario per come è stato configurato dall'attaccante.

Questo pattern sfrutta un comportamento legittimo di Git. La mancata sanitizzazione delle configurazioni Git da parte di Codex trasforma l'apertura di una cartella in un vettore di compromissione.

Timeline e scope: cosa copre il record ufficiale

La vulnerabilità è stata riportata a OpenAI il 2 giugno 2026 da Satoki Tsuji, ricercatore di Ikotas Labs, Inc., con handle @satoki00. La divulgazione coordinata ha seguito il percorso standard della Zero Day Initiative.

L'advisory ZDI-26-651 conferma che "OpenAI has issued an update to correct this vulnerability". Il record CVE elenca tre range di versioni affette: da 260202.0859 a 26.513.31313, da 26.304.38 a 26.513.40821, e varianti con suffisso .0. Il formato di versioning non standard richiede attenzione nell'identificazione delle installazioni esposte.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of OpenAI Codex. User interaction is required to exploit this vulnerability in that the target must open a malicious folder." — Advisory ZDI-26-651

Il meccanismo tecnico in dettaglio

La configurazione Git offre molteplici punti di esecuzione automatica. I filter clean e process sono progettati per trasformare il contenuto dei file tra working tree e index. Quando configurati in .git/config, questi filter puntano a eseguibili arbitrari del sistema.

L'attaccante prepara una cartella che sembra un repository Git normale. Al suo interno, il file .git/config contiene una sezione [filter] con un nome personalizzato. La direttiva attr.tree associa estensioni di file a questo filter. Quando Codex Desktop apre la cartella e Git processa gli attributi, il filter si attiva.

Il record CVE specifica che il programma "runs outside Codex's command sandbox". Questo dettaglio è critico: la sandbox esiste, ma non protegge dalle chiamate a processi esterni non controllati. L'utente non vede alcun prompt di approvazione perché l'esecuzione avviene nel contesto di Git, non nel contesto dei comandi generati dall'AI.

Limiti noti delle fonti

Le fonti primarie convergenti — ZDI e CVE — presentano limiti documentati. Il punteggio CVSS e il vettore CVSS non sono esplicitati nell'advisory ZDI. Il formato delle versioni affette nel record CVE è anomalo e richiede verifica di parsing. Non è chiaro se l'aggiornamento correttivo sia distribuito automaticamente o richieda azione manuale dell'utente. Il dossier non documenta se l'exploit sia stato effettivamente dimostrato dal vivo durante Pwn2Own o solo classificato come scoperta nell'ambito dell'evento.

Analisi: la delega a Git come superficie di attacco

La configurazione Git è potente: clean filter, smudge filter, merge driver, diff driver e altri hook possono eseguire codice in risposta a operazioni apparentemente passive. Un tool che incorpora Git senza isolare questi meccanismi eredita la loro superficie di attacco.

Il caso Codex mostra come la trust boundary tra ispezione dei file ed esecuzione di codice possa essere annullata quando un tool secondario eredita privilegi impliciti. La sandbox dei comandi di Codex rimane intatta nel suo scope; il bypass avviene per delega, non per rottura dell'isolamento.

Questa architettura è comune negli IDE moderni. VS Code, JetBrains e altri ambienti di sviluppo integrano Git nativamente. Ognuno di questi tool eredita la stessa superficie di attacco se non implementa controlli specifici sui repository non attendibili.

Cosa fare adesso

• Verificare la versione installata di Codex Desktop confrontandola con i range CVE, prestando attenzione al formato non standard delle versioni
• Applicare l'aggiornamento correttivo rilasciato da OpenAI; verificare manualmente che la procedura sia completata con successo, poiché le fonti non specificano se l'update sia automatico
• Non aprire cartelle di repository Git di provenienza sconosciuta: l'apertura è il trigger dell'attacco

La lezione di CVE-2026-19593 sta nella distinzione tra contenere il codice e controllare la catena di esecuzione. Codex aveva una sandbox per i propri comandi, ma non aveva previsto che Git — il suo satellite di fiducia — potesse essere armato dall'esterno. Per gli sviluppatori che lavorano con repository multipli, il vettore "apri cartella" è quotidianamente presente e ora documentatamente rischioso.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-651/
• https://www.cve.org/CVERecord?id=CVE-2026-19593
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html