Il 15 luglio 2026 la Zero Day Initiative ha reso pubblica l'advisory ZDI-26-438, una vulnerabilità in Rockwell Automation Arena Simulation che permette l'esecuzione remota di codice arbitrario attraverso il parsing di file DOE craftati. La falla, segnalata al vendor il 2 maggio 2025, richiede interazione utente ma offre un impatto critico nel contesto della simulazione industriale, dove la condivisione di modelli tra ingegneri e operatori è prassi quotidiana. Rockwell Automation ha già rilasciato un aggiornamento correttivo, rendendo l'azione di patching immediata e misurabile.
- ZDI-26-438 consente RCE su installazioni di Rockwell Automation Arena Simulation tramite parsing malformato di file DOE
- Il meccanismo è un out-of-bounds write causato da mancata validazione di dati controllati dall'attaccante durante il parsing
- L'exploit richiede interazione utente esplicita: apertura di file malevolo o visita a pagina compromessa
- Rockwell Automation ha pubblicato aggiornamento correttivo il 15 luglio 2026, chiudendo una disclosure coordinata di circa 14 mesi
Il meccanismo: out-of-bounds write nel parser DOE
La falla risiede specificamente nel parser di file DOE (Design of Experiments), il formato usato da Arena Simulation per importare configurazioni sperimentali e parametri di simulazione. Secondo l'advisory ZDI, "the specific flaw exists within the parsing of DOE files" e deriva da "the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated object".
Questa formulazione tecnica identifica un out-of-bounds write classico: il parser alloca un buffer per contenere dati del file DOE, poi scrive oltre il confine di quella regione di memoria. In contesti di parsing nativo, questo pattern è tipicamente exploitabile per sovrascrivere metadati dell'heap, puntatori a funzione o vtable, con conseguente controllo del flusso di esecuzione nel contesto del processo Arena.
L'assenza di dettagli sull'offset esatto o sulla struttura DOE corrotta non indebolisce la lettura: ZDI classifica la vulnerabilità come RCE, e la sua struttura di disclosure coordinata implica riproducibilità verificata dal ricercatore e dal vendor.
Il vettore: ingegneria sociale e condivisione di modelli
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Rockwell Automation Arena Simulation. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file."
La citazione dall'advisory ZDI-26-438 definisce con precisione il perimetro d'attacco. Non è una vulnerabilità zero-click: l'attaccante deve indurre l'utente a compiere un'azione esplicita. Il vettore file è particolarmente rilevante per Arena Simulation perché il software è strumento di lavoro condiviso: modelli, scenari e configurazioni DOE circolano via email, cloud storage e repository di progetto tra ingegneri di processo, consulenti e operatori di impianto.
La superficie di attacco si estende oltre il singolo workstation. In architetture OT/ICS tipiche, il PC di simulazione può avere connettività verso rete di fabbrica, sistemi MES o database storici. Un compromissione nel contesto del processo Arena — tipicamente con privilegi dell'utente ingegnere — offre pivoting verso segmenti industriali che la simulazione stessa modella e rappresenta.
Timeline e disclosure: 14 mesi di coordinamento vendor-ricercatore
La disclosure di ZDI-26-438 segue la timeline classica del programma Zero Day Initiative. Il report iniziale è datato 2 maggio 2025; il rilascio pubblico coordinato è avvenuto il 15 luglio 2026. Questo intervallo di circa 14 mesi riflette il tempo di sviluppo e test dell'aggiornamento da parte di Rockwell Automation, verificato poi dal ricercatore originale.
L'advisory dichiara testualmente: "Rockwell Automation has issued an update to correct this vulnerability". L'URL della patch non è specificato nel dettaglio dell'advisory ma rimanda al portale di supporto Rockwell, coerentemente con la prassi ZDI di non pubblicare link diretti vendor se non verificati.
Non emergono sovrapposizioni infrastrutturali o indicatori di compromesso che colleghino ZDI-26-438 a campagne attive note allo stato attuale. ZDI non dichiara sfruttamento in-the-wild, e la natura del vettore — interazione utente su software specialistico — rende improbabile un deployment massivo e indiscriminato.
Cosa fare adesso
- Applicare l'aggiornamento correttivo rilasciato da Rockwell Automation per Arena Simulation, verificando la disponibilità nel portale di supporto ufficiale del vendor
- Rivedere le policy di condivisione file DOE: limitare l'esecuzione automatica di allegati da email esterne e implementare scansione antimalware sui repository di modelli condivisi
- Isolare i workstation di simulazione Arena da segmenti di rete industriale non strettamente necessari, contenendo il raggio d'azione di un eventuale compromissione
- Documentare nell'inventario OT tutte le installazioni di Arena Simulation, con tracciamento delle versioni installate per verificare copertura patch
Il brief non specifica misure correttive aggiuntive oltre all'aggiornamento vendor. La natura dei dati esposti in caso di exploit — progetti di simulazione, parametri di processo, o credenziali di accesso ad altri sistemi — non è dettagliata nell'advisory.
Perché la simulazione industriale è un fronte nuovo
Arena Simulation non è un PLC o un HMI: è software che gira su Windows, usato per progettare e ottimizzare processi prima del loro deployment fisico. Questa distanza apparente dalla linea di produzione reale è illusoria. I modelli di simulazione contengono parametri di ciclo, logiche di controllo e talvolta interfacce verso sistemi di esecuzione. Compromettere il PC di simulazione significa compromettere la fiducia nel progetto che poi guiderà l'impianto.
Il formato DOE, in particolare, è un veicolo di dati strutturati che ingegneri si scambiano come documento di lavoro. La sua innocuità percepita — "è solo un file di configurazione" — lo rende vettore ideale per attacchi mirati. La lezione di ZDI-26-438 è che il parsing di formati specializzati, anche lontani dai protocolli ICS tradizionali, merita la stessa attenzione di sicurezza riservata ai sistemi di controllo.
Il programma ZDI ha reso pubblica questa advisory dopo più di un anno di coordinamento. Il ritardo tra report e disclosure non è anomalo per software industriale, dove i cicli di test sono estesi. L'effetto collaterale è però una finestra di esposizione potenzialmente lunga per chi non applichi tempestivamente le patch nel momento del rilascio coordinato.
Domande frequenti
Esiste un identificatore CVE per questa vulnerabilità?
No. L'advisory ZDI-26-438 non riporta un CVE-ID assegnato, né un punteggio CVSS. La struttura dell'identificativo ZDI è autorevole ma non mappata su CVE.org allo stato attuale.
Quali versioni di Arena Simulation sono interessate?
L'advisory non elenca versioni specifiche affette. Il brief non fornisce questo dettaglio, che rimane da verificare attraverso il portale di supporto Rockwell Automation.
È necessario un exploit pubblico per essere a rischio?
No. La vulnerabilità è RCE con vettore file DOE craftato: la barriera tecnica per costruire il payload è relativamente bassa per un attaccante con conoscenza del formato. La protezione primaria resta l'aggiornamento correttivo.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-438/
- https://www.zerodayinitiative.com/advisories/published/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.