Parallels RAS Client: vulnerabilità locale consente escalation a…

CVE-2026-18263 colpisce il RAS RDP Backend Service con CVSS 7.8. L'exposed dangerous function consente a codice a basso privilegio di elevare i permessi a SYSTEM

Il programma di coordinata disclosure del TrendAI Zero Day Initiative ha reso pubblico l'11 agosto 2026 l'advisory ZDI-26-556, che documenta una vulnerabilità di local privilege escalation nel client di accesso remoto Parallels RAS. La falla, identificata come CVE-2026-18263, permette a un attaccante che già disponga di esecuzione di codice a basso privilegio su un sistema di elevare i propri diritti al contesto SYSTEM. Il punteggio CVSS 3.0 di 7.8 (categoria HIGH) e il vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H indicano una complessità di attacco bassa e nessuna necessità di interazione da parte dell'utente.

Punti chiave

Il servizio RAS RDP Backend Service del client Parallels RAS espone una funzione pericolosa classificata come CWE-749, che consente l'escalation di privilegi da codice a basso privilegio a SYSTEM.
Il vettore di attacco è esclusivamente locale (AV:L), con bassa complessità (AC:L) e senza richiesta di interazione utente (UI:N); l'impatto è massimo su confidenzialità, integrità e disponibilità (C:H/I:H/A:H).
La vulnerabilità è stata segnalata al vendor il 25 febbraio 2026; la pubblicazione coordinata è avvenuta dopo 168 giorni.
Le fonti disponibili non specificano quali versioni del client Parallels RAS siano affette né dettagli sulla disponibilità di una patch correttiva da parte del vendor.

Come funziona la falla

Secondo l'advisory ZDI, la vulnerabilità risiede nel RAS RDP Backend Service, un componente del client Parallels RAS. La classificazione CWE-749 identifica il problema come un'exposed dangerous method or function: il servizio espone una funzionalità che, se invocata, consente operazioni di sistema sensibili senza adeguati controlli di accesso.

L'attaccante, posizionatosi già sul sistema con codice a basso privilegio, può sfruttare questa funzione per ottenere l'esecuzione di codice arbitrario nel contesto di SYSTEM. La combinazione di PR:L (privilegi bassi richiesti) e UI:N (nessuna interazione utente) significa che, una volta ottenuto un foothold iniziale, l'escalation è automatica.

"The specific flaw exists within the RAS RDP Backend Service. The issue results from an exposed dangerous function. An attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of SYSTEM." — ZDI Advisory ZDI-26-556

Il profilo di rischio: perché CVSS 7.8 con attacco locale è comunque critico

Il punteggio CVSS 7.8, pur non raggiungendo la soglia 9.0+ tipica delle vulnerabilità remote, nasconde una pericolosità operativa elevata. Il vettore completo CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H descrive una falla che, sebbene richieda accesso locale, è tecnicamente banale da sfruttare una volta ottenuto un foothold iniziale. Secondo il record CVE ufficiale, la severità è HIGH.

Il pattern è particolarmente rilevante per le organizzazioni enterprise che distribuiscono Parallels RAS Client su migliaia di endpoint. In questi ambienti, la compromissione iniziale avviene spesso tramite phishing o distribuzione di software malevolo. La presenza di una LPE locale con complessità bassa trasforma ogni singola infezione in un potenziale controllo completo della macchina.

Il valore del vettore AC:L (attack complexity low) è significativo: non sono richieste condizioni di gara né configurazioni specifiche del sistema target. L'attaccante non deve superare meccanismi di protezione aggiuntivi o dipendere da stati particolari del software. Questa prevedibilità rende la vulnerabilità appetibile per attori che dispongono già di tool di post-exploitation automatizzati.

La timeline di disclosure: 168 giorni senza indicazioni di patch

I dati della disclosure coordinata mostrano un arco temporale significativo: la vulnerabilità è stata riportata al vendor il 25 febbraio 2026, ma la release pubblica dell'advisory è avvenuta solo l'11 agosto 2026. Questo intervallo di 168 giorni è il dato disponibile nelle fonti.

L'URL di patch indicato nell'advisory ZDI punta al medesimo advisory. Secondo le fonti disponibili, lo stato della patch rilasciata dal vendor non è dettagliato. L'assenza di versioni specifiche affette nelle fonti primarie introduce un'incertezza operativa per gli amministratori di sistema.

Il ricercatore ha operato attraverso il canale standard ZDI: segnalazione privata al vendor, attesa di risposta, e pubblicazione coordinata alla scadenza del periodo di embargo. L'identificativo interno ZDI ZDI-CAN-28886 conferma la tracciabilità del caso nel sistema di gestione del programma.

Cosa fare adesso

Verificare la presenza di Parallels RAS Client nell'inventario software degli endpoint aziendali, con particolare attenzione alle versioni installate.
Contattare direttamente Parallels o consultare il portale di supporto ufficiale del vendor per verificare lo stato di rilascio di eventuali aggiornamenti correttivi per CVE-2026-18263.
Rivedere i privilegi degli account utente sui sistemi dove il client è installato, limitando dove possibile l'esecuzione di codice non autorizzato che costituisce il prerequisito per lo sfruttamento.
Monitorare i log di sistema per attività anomale del RAS RDP Backend Service, in particolare processi figli eseguiti con privilegi elevati non correlati a operazioni utente legittime.

Il caso del disclosure gap: quando il vendor non collabora

L'intervallo di 168 giorni tra segnalazione e pubblicazione coordinata, unito all'assenza di una pagina di patch dedicata nelle fonti disponibili, configura un caso di studio sui limiti della coordinated disclosure. Il programma ZDI prevede un ciclo di notifica privata, ma la mancanza di aggiornamenti correttivi documentati al momento della pubblicazione lascia gli utenti enterprise senza indicazioni operative chiare.

Questo scenario è ricorrente nel panorama delle vulnerabilità client-side: le fonti primarie convergono sui dettagli tecnici della falla, ma non sulla sua gestione operativa. Per gli amministratori, il gap tra disclosure e remediation è il vero stakes della vulnerabilità, più del punteggio CVSS.

La struttura stessa dell'advisory ZDI riflette questa asimmetria: la sezione tecnica è esaustiva sul meccanismo della falla, mentre la sezione vendor è ridotta a un URL che riporta al medesimo documento. Questo pattern, noto agli analisti di threat intelligence, richiede un approccio proattivo da parte dei consumatori del software.

Secondo le fonti disponibili, le informazioni su CVE-2026-18263 si basano sull'advisory ZDI-26-556 e sul record CVE ufficiale. Versioni affette, patch specifiche e dettagli tecnici dell'exposed dangerous function non sono documentati nelle fonti accessibili.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti