Il programma di visualizzazione dati scientifici OriginLab Origin Viewer contiene una falla di sicurezza nel parser dei file OGW che consente l'esecuzione di codice remoto. La Trend Micro Zero Day Initiative (ZDI) ha pubblicato l'advisory ZDI-26-553 l'11 agosto 2026, confermando che OriginLab ha rilasciato un aggiornamento correttivo dopo quasi quattro mesi di disclosure coordinata. Il rischio riguarda direttamente workstation di ricerca, laboratori e ambienti industriali dove il formato OGW circola routine tra colleghi e collaboratori.
- La vulnerabilità ZDI-26-553, con CVE-2026-18294 assegnato, permette esecuzione di codice arbitrario nel contesto del processo corrente tramite file OGW malevolo.
- La falla risiede nella mancata validazione dei dati utente durante il parsing dei file workbook Origin, con conseguente memory corruption.
- L'attacco richiede interazione dell'utente: apertura di file OGW compromesso o visita di pagina web malevola che lo distribuisca.
- OriginLab ha rilasciato una patch; il report iniziale è stato inviato il 8 aprile 2026 e la disclosure pubblica è avvenuta il 11 agosto 2026.
Come funziona l'attacco al parser OGW
Il formato OGW è un workbook nativo della piattaforma Origin, utilizzato per archiviare dati scientifici, grafici e metadati di analisi. Secondo l'advisory ZDI, la falla specifica esiste nel parsing di questi file: la mancata validazione dei dati forniti dall'utente genera una condizione di memory corruption. Un attaccante può sfruttare questa condizione per eseguire codice nel contesto del processo in cui Origin Viewer opera.
La ZDI documenta esplicitamente il meccanismo come file-based, non network-service. L'utente deve compiere un'azione deliberata: aprire un allegato email, scaricare un file da repository condiviso, o visitare una pagina web che forzi il download e l'apertura automatica del file OGW. Questo vettore rende l'ingegneria sociale un componente necessario della catena d'attacco, ma non ne riduce la pericolosità in ambienti dove la condivisione di dataset è pratica quotidiana.
Timeline della disclosure coordinata ZDI
La vulnerabilità è stata segnalata a OriginLab l'8 aprile 2026. Dopo circa quattro mesi, il 11 agosto 2026 la ZDI ha pubblicato l'advisory pubblico secondo la timeline coordinata. Il CVE-2026-18294 è prenotato nel registro MITRE ma il record risulta ancora in stato reserved, senza dettagli tecnici aggiuntivi rispetto all'advisory ZDI.
La ZDI non specifica la versione esatta di Origin Viewer affetta né l'identità del ricercatore che ha scoperto la falla. Non emergono nel dossier dettagli sulle dimensioni del file OGW innesco, offset di corruzione memoria, o varianti del formato coinvolte. Questi limiti sono tipici delle disclosure ZDI che proteggono la proprietà intellettuale del ricercatore fino alla pubblicazione coordinata.
"The specific flaw exists within the parsing of OGW files. The issue results from the lack of proper validation of user-supplied data, which can result in a memory corruption condition. An attacker can leverage this vulnerability to execute code in the context of the current process." — Advisory ZDI-26-553
Perché i laboratori sono superfici d'attacco atipiche
Origin Viewer è distribuito in modo massiccio in università, centri di ricerca, industria farmaceutica e manifatturiera avanzata. A differenza dei server di produzione, le workstation scientifiche ricevono meno attenzione dal patching automatico e spesso eseguono software specialistico con privilegi elevati per accedere a strumentazione o database interni. Un file OGW condiviso via email istituzionale, piattaforma di collaborazione o repository accademico non solleva allarmi: è il formato standard del mestiere.
La ZDI non documenta exploit in-the-wild né campagne attive che sfruttino questa specifica falla. Tuttavia la struttura del vettore — file condiviso in ambienti di fiducia — rende la vulnerabilità particolarmente adatta a scenari di spear-phishing mirato contro target di alto valore, dove la condivisione di dataset è credibile e attesa.
Cosa fare adesso
La fonte primaria indica quattro azioni prioritarie:
- Verificare la presenza di OriginLab Origin Viewer nel parco macchine e confermare che l'installazione sia aggiornata alla versione corretta rilasciata da OriginLab.
- Bloccare o filtrare l'esecuzione automatica di file OGW scaricati da email o piattaforme di condivisione fino a verifica dell'origine.
- Isolare le workstation di analisi dati scientifici da segmenti di rete con accesso diretto a sistemi critici o strumentazione.
- Rivedere le policy di condivisione file tra unità di ricerca per richiedere conferma out-of-band prima di aprire workbook provenienti da mittenti non verificati.
Chi deve preoccuparsi (e chi no)
L'advisory ZDI non specifica se la falla interessi solo Origin Viewer — il visualizzatore gratuito — o anche OriginPro, la suite completa di analisi. Questa distinzione è rilevante: Origin Viewer è spesso installato su macchine non gestite centralmente, come laptop di studenti o collaboratori esterni, mentre OriginPro tende a risiedere su workstation aziendali con procedure di aggiornamento più strutturate. La ZDI non chiarisce questa estensione, quindi la prudenza suggerisce di trattare entrambi i prodotti come potenzialmente esposti fino a conferma del vendor.
Il punteggio CVSS specifico non è riportato nel testo advisory disponibile. Il CVE-2026-18294, prenotato ma non ancora popolato con metriche nel registro MITRE, non offre una scala di priorità oggettiva. In assenza di questi numeri, la classificazione dell'impatto come RCE nel contesto del processo corrente — con interazione utente richiesta — posiziona la vulnerabilità in una fascia di severità alta ma non critica, dove la tempestività del patching rimane determinante ma non esistenziale.
Domande frequenti
Possono essere attaccati anche i file OGG o altri formati Origin?
Il dossier non documenta vulnerabilità nei formati OGG o altri formati Origin. La falla ZDI-26-553 riguarda esplicitamente il parsing dei file OGW.
È necessario disinstallare Origin Viewer se non si trova la patch?
La fonte non indica disinstallazione come misura correttiva. OriginLab ha rilasciato un aggiornamento; la disponibilità della patch è il dato confermato, non la rimozione del prodotto.
Il CVE-2026-18294 è già pubblico con dettagli completi?
No. Il record CVE-2026-18294 risulta in stato reserved presso cve.org al momento della pubblicazione di questo articolo; i dettagli tecnici provengono esclusivamente dall'advisory ZDI-26-553.
La scienza dei dati richiede fiducia nella provenienza dei campioni analizzati. Quella stessa fiducia, trasferita automaticamente ai file che li contengono, è ciò che rende questa falla insidiosa: il formato di lavoro quotidiano diventa vettore di compromissione senza che l'utente percepisca anomalia. La patch esiste, ma la sua efficacia dipenderà dalla velocità con cui amministratori di sistemi scientifici — spesso sottodimensionati e invisibili nella catena di sicurezza aziendale — la distribuiranno nelle loro nicchie tecnologiche.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-553/
- https://www.cve.org/CVERecord?id=CVE-2026-18294
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html