Il 29 luglio 2026 lo Zero Day Initiative ha pubblicato l'advisory ZDI-26-498, relativo a una vulnerabilità di privilege escalation in TrendAI Vision One Service Gateway identificata come CVE-2025-71387. Il difetto era già stato corretto nell'aggiornamento mensile di dicembre 2025, dieci mesi dopo la segnalazione iniziale del 3 ottobre 2025. Il bulletin vendor Trend Micro, datato 21 luglio 2026, è esplicitamente classificato come "information only": nessuna azione richiesta per chi aggiorna regolarmente.
- La vulnerabilità CVE-2025-71387 permette escalation di privilegi a un attaccante remoto autenticato nella gestione della registrazione del Service Gateway di TrendAI Vision One.
- Il CVSS v3.1 è 7.2 (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) al momento della segnalazione iniziale, con privilegi elevati richiesti per l'exploit.
- Il fix è stato distribuito nell'aggiornamento mensile di dicembre 2025; l'advisory ZDI è stato rilasciato il 29 luglio 2026, con un lag di circa sette mesi dalla correzione.
- Trend Micro dichiara il bulletin KA-0023937 "information only" e conferma che nessuna azione è necessaria per i clienti con manutenzione regolare.
Il meccanismo: incorrect privilege assignment nella registrazione del Service Gateway
Il difetto risiede nella gestione della registrazione del Service Gateway di TrendAI Vision One. Secondo l'advisory ZDI, "the specific flaw exists within the handling of Service Gateway registration. The issue results from incorrect privilege assignment." Un attaccante remoto autenticato può sfruttare questa assegnazione errata per ottenere privilegi superiori a quelli originariamente concessi.
L'autenticazione è condizione necessaria. L'advisory specifica: "Authentication is required to exploit this vulnerability." Questo vincolo riduce la superficie di attacco rispetto a una vulnerabilità sfruttabile senza credenziali, ma non annulla il rischio in ambienti enterprise dove account compromessi o insider rappresentano vettori plausibili.
Il bulletin vendor descrive la vulnerabilità come in grado di permettere "a user with certain key roles to elevate their privileges." Il dossier non specifica quali siano esattamente questi "certain key roles", né il livello esatto di privilegi ottenibili post-exploitation.
La timeline della disclosure: da ottobre 2025 a luglio 2026
La cronologia rivela un processo di disclosure coordinata esteso. Il ricercatore Xavier DANEST di Decathlon, collaborando con TrendAI Zero Day Initiative, ha segnalato la vulnerabilità il 3 ottobre 2025. Trend Micro ha rilasciato la correzione nell'aggiornamento mensile di dicembre 2025. Il bulletin vendor è datato 21 luglio 2026. L'advisory ZDI è stato pubblicato il 29 luglio 2026.
Questo intervallo di circa dieci mesi tra segnalazione e advisory pubblico, con sette mesi di lag tra patch e disclosure coordinata, solleva questioni sulla gestione della percezione del rischio. Trend Micro ha optato per un "information only bulletin", una pratica che documenta la vulnerabilità per riconoscimento del ricercatore e assegnazione CVE, ma esplicitamente esclude l'urgenza operativa.
"This bulletin is provided as an INFORMATION ONLY BULLETIN – meaning that the issues outlined in this bulletin are historical and are for the purposes of researcher acknowledgement and CVE documentation." — Trend Micro Bulletin KA-0023937
Il modello "information only": gestione del rischio o attenuazione della percezione?
La scelta di classificare il bulletin come "information only" è tecnicamente fondata: la vulnerabilità è già risolta. Tuttavia, questa pratica vendor merita una lettura critica. L'advisory ZDI e il bulletin Trend Micro convergono nel presentare CVE-2025-71387 come un fatto storico, non una minaccia attuale. Questo framing ha conseguenze operative.
Per i team di sicurezza, un "information only bulletin" può generare ambiguità. La priorità di patching è determinata dal vendor stesso, che in questo caso la esclude. Ma la verifica dell'effettiva applicazione dell'aggiornamento di dicembre 2025 resta responsabilità del cliente. Il dossier non documenta se Trend Micro abbia notificato attivamente i clienti non aggiornati o se l'advisory ZDI rappresenti il primo canale di disclosure pubblica per utenti che potrebbero avere saltato la patch.
Il record CVE-2025-71387 su cve.org è ancora in stato reserved, privo di dettagli tecnici popolati al momento della stesura. Questo gap tra assegnazione CVE e popolamento del record pubblico è comune, ma evidenzia come la documentazione ufficiale delle vulnerabilità enterprise spesso proceda per tappe incomplete.
Cosa fare adesso
- Verificare che l'ambiente TrendAI Vision One sia stato aggiornato con la manutenzione mensile di dicembre 2025 o successiva.
- Controllare i log di registrazione del Service Gateway per anomalie nel periodo pre-patch (ottobre-dicembre 2025) se la conservazione lo permette.
- Rivedere le assegnazioni di ruolo agli utenti con accesso al Service Gateway, dato che l'exploit richiede privilegi specifici non completamente dettagliati nel dossier.
- Monitorare il popolamento del record CVE-2025-71387 su cve.org per eventuali aggiornamenti al vettore CVSS o alle versioni specifiche interessate.
La lezione del lag: quando la disclosure diventa comunicazione di seconda fascia
L'episodio CVE-2025-71387 illustra una tensione strutturale nella cybersecurity enterprise. La correzione tempestiva a dicembre 2025 è indiscutibile; la pubblicazione dell'advisory a luglio 2026, con classificazione "information only", trasforma una vulnerabilità tecnica in un evento di comunicazione gestito. Il riconoscimento del ricercatore, l'assegnazione CVE e la documentazione storica si realizzano, ma la trasparenza operativa — la visibilità immediata del rischio per chi non aggiorna — è differita e attenuata.
Per il settore, la questione non è la legittimità del modello "information only", ma la sua diffusione sistematica. Se i vendor enterprise adottano questa classificazione come standard per le vulnerabilità già patchate, i team di sicurezza devono costruire processi indipendenti di verifica, non delegare la priorità al framing comunicazionale del fornitore. Il caso TrendAI Vision One è un esempio calzante di come la "burocrazia della sicurezza" — i tempi tecnici della disclosure, le etichette dei bulletin, il popolamento dei CVE — influenzi concretamente la gestione del rischio più della tecnicità del difetto stesso.
Domande frequenti
Perché l'advisory è stato pubblicato a luglio 2026 se la patch è di dicembre 2025?
Il 29 luglio 2026 è la data di rilascio coordinato dell'advisory ZDI, che segue il bulletin vendor del 21 luglio 2026. Trend Micro gestisce la disclosure in modo che l'advisory pubblico arrivi dopo la distribuzione della patch, ma il lag di sette mesi tra correzione e documentazione pubblica non è dettagliatamente motivato nel dossier.
Il CVSS 7.2 è ancora valido?
Il bulletin Trend Micro specifica che il punteggio CVSS 3.1 di 7.2 è "at time of initial report". Il dossier non contiene aggiornamenti successivi al punteggio, né conferma che sia stato rivalutato dopo il rilascio della patch.
Quali versioni specifiche di TrendAI Vision One sono interessate?
Il dossier non elenca versioni software specifiche interessate. L'advisory ZDI si riferisce genericamente a "affected installations of TrendAI Vision One", mentre il bulletin vendor indica che la vulnerabilità è stata corretta nell'aggiornamento mensile di dicembre 2025 senza numeri di build dettagliati.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-498/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2025-71387
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://success.trendmicro.com/en-US/solution/KA-0023937
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.