Oracle Outside In: RCE via file WPS, patch del 9 settembre 2026

Il 9 settembre 2026 Trend Micro ha reso pubblica la ZDI-26-638, advisory che documenta una vulnerabilità di esecuzione remota di codice nel componente Oracle Outside In Technology. La falla, catalogata come CVE-2026-60414, risiede nel parsing di file WPS — il formato WordPerfect — e colpisce la versione 8.5.8 del middleware. Oracle ha rilasciato un aggiornamento coordinato nella stessa giornata. La criticità è alta: il punteggio CVSS 3.1 è 7.8 su scala HIGH, con impatto completo su confidenzialità, integrità e disponibilità.

Il meccanismo: memoria corrotta nel parsing WPS

La falla specifica è una memory corruption. Secondo l'advisory ZDI, il problema deriva dalla mancanza di adeguata validazione dei dati forniti dall'utente nel parser di file WPS. Un attaccante che costruisce un documento WordPerfect malformato può innescare la corruzione della memoria e ottenere l'esecuzione di codice arbitrario nel contesto del processo che effettua il parsing.

Il formato WPS — storicamente associato a WordPerfect, tuttora presente in ambienti enterprise legacy — non richiede una catena di exploit complessa. Il file basta a sé stesso. L'assenza di ulteriori barriere nell'ambito del processo vulnerabile significa che il codice maligno eredita i privilegi del servizio che sta elaborando il documento.

"The specific flaw exists within the parsing of WPS files. The issue results from the lack of proper validation of user-supplied data, which can result in a memory corruption condition." — Advisory ZDI-26-638

Il profilo di rischio: locale ma con elevato impatto

Il vettore CVSS indica AV:L (Attack Vector: Local), non di rete. Questo significa che l'attaccante deve ottenere in qualche modo l'esecuzione del file nel sistema target — tipicamente tramite email con allegato o con una pagina web che induce il download. Il parametro UI:R conferma che è necessaria l'interazione umana: una persona deve aprire il file o visitare la pagina maligna.

Nonostante la componente locale, il profilo di rischio resta severo. I parametri C:H, I:H, A:H segnalano impatto alto su tutti e tre i pilastri della sicurezza informatica. Il requisito PR:N (Privileges Required: None) indica che l'attaccante non necessita di credenziali pregresse. La combinazione AC:L (Attack Complexity: Low) con PR:N e UI:R descrive uno scenario in cui la difficoltà tecnica è bassa e l'ingegneria sociale diventa il perno dell'offensiva.

L'advisory ZDI precisa esplicitamente che la vulnerabilità "allows remote attackers to execute arbitrary code on affected installations". Il termine "remote" si riferisce all'origine dell'attaccante, non al vettore tecnico di rete: il payload viaggia via documento, l'esecuzione avviene localmente.

La timeline coordinata e il cluster di advisory

La segnalazione iniziale a ZDI risale all'8 aprile 2026. I 154 giorni tra segnalazione e divulgazione pubblica rientrano nella finestra di coordinazione tipica per vulnerabilità di questa complessità, specie quando il vendor deve integrare la correzione in un ciclo di rilascio pianificato.

La data di pubblicazione — 9 settembre 2026 — non è casuale. La stessa lista di advisory ZDI pubblicati quella giornata include altre tre vulnerabilità RCE nel medesimo prodotto Oracle Outside In Technology, rispettivamente sui formati GEM, PostScript e PDF. Tutte e quattro presentano lo stesso punteggio CVSS 7.8 e la medesima struttura di impatto. La convergenza suggerisce un audit di sicurezza sistematico o una campagna di ricerca coordinata sul parser multi-formato del middleware.

Il dato è rilevante per chi gestisce l'esposizione di sicurezza: non si tratta di un difetto isolato nel formato WPS, ma di un pattern più ampio nella superficie di parsing di Oracle Outside In Technology. Le organizzazioni che utilizzano questo componente — spesso embedded in prodotti di terze parti per conversione e visualizzazione documenti — devono valutare l'intera gamma di formati gestiti, non solo il WordPerfect.

Cosa fare adesso

• Applicare la patch Oracle rilasciata il 9 settembre 2026 per Oracle Outside In Technology 8.5.8, come indicato nell'advisory ZDI-26-638.
• Verificare quali prodotti e servizi interni incorporano il componente Outside In Core, dato che il middleware è spesso distribuito come libreria integrata in soluzioni di terze parti.
• Implementare il filtraggio degli allegati in formato WPS a livello di gateway email e proxy web, limitando la superficie di esposizione al vettore che richiede interazione umana.
• Monitorare i log di esecuzione dei processi che effettuano parsing di documenti per anomalie di memoria o crash ricorrenti su file WPS, che potrebbero indicare tentativi di exploit.

Perché il formato WPS non è un dettaglio marginale

Il formato WordPerfect sopravvive in nicchie enterprise dove la compatibilità con archivi storici è un requisito di business. La sua presenza nei parser di middleware come Oracle Outside In Technology testimonia una frattura comune nell'ecosistema software: la necessità di supportare formati legacy espone superfici di attacco che il mercato moderno ha progressivamente abbandonato, ma che i sistemi di conversione devono ancora gestire.

Il cluster di quattro advisory RCE pubblicate simultaneamente da ZDI indica che questa superficie è stata oggetto di un'esplorazione metodica. Per le organizzazioni, il rischio non è solo la singola CVE-2026-60414, ma la consapevolezza che i parser di formati legacy — spesso meno scrutinati di quelli mainstream — possano nascondere classi di vulnerabilità sistematiche. La coordinazione della patch da parte di Oracle è un primo passo; la mappatura completa dei prodotti che incorporano Outside In Technology resta un'attività a carico degli utilizzatori finali.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-638/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-60414
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti