Il 15 luglio 2026 Trend Micro Zero Day Initiative ha pubblicato l'advisory ZDI-26-409 su una vulnerabilità nel componente grafico Glamor di X.Org Server. Il difetto, tracciato come CVE-2026-55999, consente a un utente locale con accesso al display X di elevare i propri privilegi fino a root tramite un heap-based buffer overflow. La criticità è elevata: il CVE record assegna un punteggio CVSS 3.1 di 8.5 su scala HIGH, anche se il vettore metrico contiene un'anomalia che merita attenzione.
- La vulnerabilità risiede nella funzione
glamor_font_getdel componente Glamor, motore di accelerazione OpenGL per X.Org - L'attacco richiede condizioni locali: un utente con connessione X che fornisce font PCX con glifi malformati
- Le versioni vulnerabili sono xorg-server precedente al 21.2.24 e xwayland precedente al 24.1.13
- X.Org ha emesso aggiornamenti correttivi; il tempo tra segnalazione privata e disclosure coordinata è stato di 47 giorni
Il meccanismo: da SetFont a sovrascrittura dell'heap
Il componente Glamor fornisce accelerazione OpenGL al server X tradizionale e a Xwayland, il layer di compatibilità che permette alle applicazioni X11 di funzionare sotto Wayland. Nella gestione dei font, la funzione glamor_font_get elabora i glifi — le rappresentazioni grafiche dei caratteri — senza verificare adeguatamente i limiti dei dati forniti dall'utente.
Secondo l'advisory ZDI, "The specific flaw exists within the glamor_font_get function. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer." Il record CVE-2026-55999 aggiunge che l'overflow avviene via il percorso SetFont con font PCX che mancano di controlli sui confini dei glifi: "Local attackers with a X connection able to provide PCX fonts to the X server [...] could cause a heap buffer overflow via SetFont due to missing glyph boundary checks."
La sovrascrittura dell'heap con dati controllati dall'attaccante apre a due scenari: il crash del server X con conseguente denial of service, oppure — e questo è il caso documentato — l'esecuzione di codice arbitrario nel contesto di root. L'advisory ZDI è esplicito: "An attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of root."
Un vettore CVSS anomalo: il caso dell'AV:N in un attacco locale
Il punteggio CVSS 3.1 di 8.5 (HIGH) merita una lettura attenta. Il vettore completo è CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H: Attack Vector risulta "Network", nonostante ZDI descriva chiaramente un attacco locale. Il valore AV:N eleva artificialmente il punteggio base rispetto a quanto suggerirebbe un AV:L coerente con le condizioni di exploit.
Questa discrepanza non è irrilevante per chi gestisce la priorità delle patch. Un CVSS 8.5 con vettore di rete potrebbe essere classificato diversamente dai sistemi automatizzati di gestione delle vulnerabilità rispetto a un 8.5 puramente locale. Il record CVE non chiarisce se l'anomalia derivi da uno scenario remoto specifico — per esempio, tunneling della connessione X attraverso SSH senza autenticazione locale sul target — o da un errore di classificazione nella fase di assegnazione del punteggio. Il dossier non fornisce chiarimenti su questo punto.
Quel che è documentato è che l'attacco richiede PR:L (Privileges Required: Low): qualsiasi utente locale con capacità di aprire una connessione al display X è potenzialmente in grado di innescare la catena. In ambienti multi-utente — server terminali, workstation condivise, infrastrutture VDI, sistemi embedded con interfaccia grafica — questa soglia è bassa.
Xwayland: il problema nascosto nelle infrastrutture moderne
Un aspetto sottovalutato della disclosure riguarda Xwayland. Wayland è il protocollo display che progressivemente sostituisce X11 nelle distribuzioni Linux, ma la compatibilità applicativa richiede ancora Xwayland per eseguire software non portato. Questo significa che molti sistemi "moderni" continuano a esporre lo stack vulnerabile, anche dove l'amministratore creve di aver abbandonato X11.
Le versioni che correggono il difetto sono xorg-server 21.2.24 e xwayland 24.1.13. Il record CVE indica che tutte le release precedenti sono affette. Non emergono dal dossier dettagli sul backporting per distribuzioni LTS o long-term support: la disponibilità della patch a monte non garantisce automaticamente la sua presenza nei repository delle distribuzioni con cicli di rilascio conservativi.
"This vulnerability allows local attackers to escalate privileges on affected installations of X.Org Server." — Trend Micro ZDI-26-409
Cosa fare adesso
Per gli amministratori di sistemi che eseguono X.Org Server o Xwayland, le azioni prioritarie derivano direttamente dai fatti documentati:
- Verificare la versione installata di xorg-server e xwayland: le soglie di sicurezza sono rispettivamente 21.2.24 e 24.1.13
- Applicare gli aggiornamenti correttivi emessi da X.Org, verificando la disponibilità nei repository della propria distribuzione
- Nei sistemi multi-utente o esposti a accesso locale non privilegiato, trattare la patch con priorità elevata data la possibilità di escalation completa a root
- Verificare la presenza di Xwayland anche su sistemi che utilizzano Wayland come compositor primario, dato che il componente vulnerabile può essere attivo in background per compatibilità applicativa
Perché la linea del tempo conta
La vulnerabilità è stata segnalata al vendor il 29 maggio 2026; il rilascio coordinato è avvenuto il 15 luglio 2026. Questo intervallo di 47 giorni tra report privato e disclosure pubblica rientra nella pratica standard della gestione coordinata delle vulnerabilità, ma lascia una finestra in cui la conoscenza del difetto era circoscritta a X.Org e a ZDI. Non emergono dal dossier indicazioni su eventuali exploit in circolazione durante questo periodo, né sulla presenza di proof-of-concept pubblici allo stato attuale.
La scelta di non divulgare immediatamente il nome del ricercatore — indicato come "Anonymous working with Trend Micro Zero Day Initiative" — è coerente con le politiche di ZDI, che permettono ai collaboratori di mantenere la riservatezza. Questo non influenza la verificabilità tecnica dell'advisory, che si appoggia a due fonti primarie convergenti.
Domande frequenti
La vulnerabilità è sfruttabile da remoto?
No. ZDI descrive esplicitamente un attacco locale. Il vettore AV:N nel CVSS è anomalo rispetto a questa descrizione; il dossier non chiarisce se rifletta uno scenario remoto valido o un errore di classificazione.
Devo preoccuparmi se uso solo Wayland senza applicazioni X11?
Se Xwayland è installato e avviabile, il componente vulnerabile è presente sul sistema. Verificare la versione di xwayland installata; la patch 24.1.13 corregge il difetto anche in questo scenario.
Il punteggio CVSS 8.5 è attendibile?
Il valore numerico 8.5 HIGH è ufficiale nel record CVE, ma la componente AV:N del vettore richiede verifica incrociata con i sistemi di gestione delle vulnerabilità in uso. La priorità di patching resta elevata indipendentemente dalla corretta interpretazione del vettore.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-409/
- https://www.cve.org/CVERecord?id=CVE-2026-55999
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.