Il 29 luglio 2026 TrendAI Zero Day Initiative ha reso pubblica l'advisory ZDI-26-475, documentando una vulnerabilità di esecuzione remota di codice nel sistema infotainment automotive Sony XAV-9500ES. La falla, classificata CVE-2026-18282 con punteggio CVSS 8.0, risiede nel parser AVRCP_Br_Response_Parser e si attiva durante l'handling di pacchetti Bluetooth AVRCP malformati. Sony aveva già distribuito il firmware 3.04.00 il 16 luglio, anticipando la disclosure coordinata di quasi due settimane.
- La vulnerabilità ZDI-26-475 consente RCE a attaccanti network-adjacent dopo il pairing di un dispositivo Bluetooth malevolo con il sistema Sony XAV-9500ES.
- Il difetto tecnico è un heap-based buffer overflow nel parser AVRCP_Br_Response_Parser, causato dalla mancata validazione della lunghezza dei dati utente prima della copia in memoria.
- La scoperta è avvenuta in contesto Pwn2Own, come confermato dal tag esplicito nel listing ufficiale ZDI associato a ZDI-CAN-28995.
- Sony ha rilasciato il firmware 3.04.00 il 16 luglio 2026, riconoscendo @ExLuck99 e @gr4ss341 di ANHTUD in collaborazione con TrendAI Zero Day Initiative.
Come funziona l'attacco: il parser AVRCP come superficie di contatto
L'advisory ZDI descrive una catena di attacco lineare ma efficace. L'attaccante, posizionato in prossimità fisica del veicolo, deve prima completare il pairing di un dispositivo Bluetooth malevolo con l'unità XAV-9500ES. Una volta stabilita la connessione, il dispositivo invia pacchetti AVRCP (Audio/Video Remote Control Profile) contenenti dati utente di lunghezza manipolata. Il parser AVRCP_Br_Response_Parser non valida tale lunghezza prima di copiare i dati in un buffer allocato sull'heap, generando un overflow controllabile dall'esterno.
"This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Sony XAV-9500ES devices. An attacker must first obtain the ability to pair a malicious Bluetooth device with the target system in order to exploit this vulnerability." — TrendAI ZDI Advisory ZDI-26-475
La natura network-adjacent del vettore esclude attacchi completamente remoti via internet, ma non mitiga il rischio in scenari reali: parcheggi pubblici, aree di sosta, supermercati, stazioni di ricarica. L'attaccante ha bisogno di metri, non di chilometri. Il profilo AVRCP, progettato per il controllo remoto di riproduzione multimediale, si rivela qui una superficie di attacco critica proprio per la sua ubiquità nei sistemi infotainment: ogni stack Bluetooth automotive lo implementa, pochi lo validano con rigore.
Da Pwn2Own a patch: la timeline della disclosure coordinata
La timeline documentata da ZDI mostra una segnalazione al vendor il 19 marzo 2026 e una release pubblica coordinata il 29 luglio 2026, con un intervallo di oltre quattro mesi. Durante questo lasso Sony ha sviluppato e testato il firmware 3.04.00, rilasciato il 16 luglio. La pagina di supporto Sony indica che l'update "fixes security vulnerabilities in the Bluetooth communication function, Wi-Fi communication function, and USB function" e "enhances the security features of the system software".
Il contesto Pwn2Own emerge esplicitamente dal listing ZDI ufficiale, che associa ZDI-CAN-28995 al tag "(Pwn2Own)". Sony riconosce formalmente @ExLuck99 e @gr4ss341 di ANHTUD working with TrendAI Zero Day Initiative, confermando la provenienza competitiva della ricerca. La competizione Pwn2Own Automotive, ramo specializzato del programma, ha progressivamente spostato l'attenzione dagli ECU centrali verso componenti periferici come infotainment e telematica, dimostrando che la compromissione inizia spesso dove l'architettura di sicurezza è meno stratificata.
Cosa fare adesso
- Gli utenti di Sony XAV-9500ES devono verificare l'installazione del firmware 3.04.00 tramite il sistema di aggiornamento del dispositivo o la pagina di supporto Sony ufficiale.
- I proprietari di veicoli con unità infotainment aftermarket devono controllare la disponibilità di patch specifiche per il proprio modello, evitando di presumere che aggiornamenti generici coprano stack Bluetooth personalizzati.
- Gli integratori e installatori professionali dovrebbero documentare la versione firmware installata su ogni unità e pianificare cicli di verifica trimestrali, dato che i sistemi automotive ricevono patch con frequenza inferiore ai dispositivi consumer.
- Le organizzazioni con flotte aziendali o veicoli di servizio dotati di XAV-9500ES devono tracciare l'adozione del firmware 3.04.00 come elemento del proprio programma di gestione vulnerabilità veicolare.
Il valore di un parser dimenticato: lettura del caso
La scelta di ZDI di pubblicare dettagli tecnici completi — nome della funzione vulnerabile, meccanismo di overflow, protocollo coinvolto — contrasta con advisory più opachi e offre un quadro diagnostico utile al di là del singolo prodotto. Il parser AVRCP_Br_Response_Parser non è un componente esotico: è un implementazione di profilo Bluetooth standard, presente in decine di stack commerciali e open source. La sua falla illustra un pattern ricorrente nella sicurezza automotive: protocolli legacy, trasportati in silos di connettività moderni, mantengono logiche di parsing sviluppate in epoche di threat model diverso.
Il punteggio CVSS 8.0 posiziona la vulnerabilità nella fascia alta della severità, ma non nella criticità massima. La distanza è tutta nel prerequisito del pairing: un controllo di accesso che, in teoria, filtra l'attaccante. In pratica, la storia delle ricerche Pwn2Own suggerisce che i prerequisiti "fisici" tendono a essere sottovalutati: l'attaccante di parcheggio è un modello di minaccia costruibile, non teorico. La dimensione del rischio dipende quindi meno dal CVSS astratto e più dalla probabilità che un veicolo vulnerabile resti non aggiornato in ambienti ad alta frequentazione pubblica.
Il settore automotive si trova a gestire una tensione strutturale. I cicli di sviluppo dei veicoli superano i cinque anni; i cicli di scoperta vulnerabilità, in contesto competitivo, si misurano in giorni. Il firmware 3.04.00 di Sony è una risposta corretta, ma la sua distribuzione dipende dall'iniziativa dell'utente finale o dell'installatore, non da aggiornamenti automatici silenziosi come quelli dei sistemi operativi mobile. Questo gap di deployment, non documentato nelle fonti disponibili in termini di tassi di adozione, rimane una variabile critica nel calcolo del rischio residuo.
Limiti del dossier e punti aperti
Le fonti non specificano se il pairing malevolo richieda interazione utente esplicita o se esistano tecniche di bypass del meccanismo di associazione. Il livello di privilegio ottenuto post-exploitation — accesso root rispetto a contesto utente limitato — non è dettagliato nell'advisory ZDI. Non è inoltre chiarito se il firmware 3.04.00 corregga esclusivamente ZDI-26-475 o un insieme più ampio di vulnerabilità dello stesso batch Pwn2Own; la formulazione Sony raggruppa i fix per funzione di comunicazione senza enumerazione CVE-specifica. Manca infine il CVSS vector string completo, che avrebbe permesso di quantificare con precisione i componenti di impatto e sfruttabilità.
FAQ
È necessario essere connessi a internet per subire l'attacco?
No. Il vettore è esclusivamente Bluetooth, con l'attaccante in prossimità fisica del veicolo. Non è richiesta connettività internet né compromissione di reti esterne.
Il firmware 3.04.00 installato automaticamente o richiede azione manuale?
Le fonti non descrivono il meccanismo di distribuzione. La pagina Sony presenta il firmware come download manuale con istruzioni di installazione, suggerendo un processo che richiede iniziativa dell'utente o dell'installatore.
Altri modelli Sony sono interessati dalla stessa vulnerabilità?
L'advisory ZDI menziona esplicitamente XAV-9500ES. Le fonti non confermano né escludono l'estensione ad altri modelli con stack Bluetooth AVRCP condiviso.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-475/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.sony.com/electronics/support/mobile-cd-players-digital-media-players-xav-series/xav-9500es/software/00274922