Il 29 luglio 2026 Zero Day Initiative ha pubblicato l'advisory ZDI-26-483 su una vulnerabilità di esecuzione remota di codice nel servizio web NoMachine. La falla risiede nella funzione getstat, dove una stringa utente non validata viene passata direttamente a una chiamata di sistema. L'arco di cinque giorni tra segnalazione e disclosure coordinata indica una risposta rapida del vendor, ma l'assenza di dettagli tecnici sulla patch lascia gli operatori con un aggiornamento da applicare senza advisory proprio del produttore.
- La vulnerabilità ZDI-26-483 consente esecuzione remota di codice su installazioni NoMachine attraverso command injection nella funzione getstat.
- L'autenticazione è richiesta per lo sfruttamento; il servizio vulnerabile ascolta sulla porta TCP 4000 in configurazione predefinita.
- L'attaccante esegue codice nel contesto dell'account del servizio, non con privilegi di sistema immediati.
- NoMachine ha rilasciato un aggiornamento correttivo tra il 24 e il 29 luglio 2026; versioni specifiche affette, CVE e punteggio CVSS non sono dichiarati nell'advisory ZDI.
Come funziona l'attacco: dalla porta 4000 alla shell
Il perimetro di esposizione è definito: il servizio web di NoMachine ascolta sulla porta TCP 4000. La falla non è un buffer overflow né una deserializzazione malevola, ma una classica command injection. L'input utente raggiunge la funzione getstat senza che il backend applichi sanificazione o escaping adeguati prima di invocare una chiamata di sistema.
Questo meccanismo trasforma ogni richiesta autenticata a getstat in un potenziale veicolo di esecuzione arbitraria. L'attaccante, una volta superato il controllo di accesso, non ha bisogno di chain di exploit complesse: basta che la stringa malevola raggiunga il punto di concatenazione con il comando shell. Il contesto di esecuzione è l'account del servizio NoMachine, con le conseguenti limitazioni ma anche con la visibilità interna che tale profilo comporta.
Cosa cambia l'autenticazione obbligatoria
L'autenticazione non rende la falla trascurabile. Significa soltanto che l'attaccante deve disporre di credenziali valide o di una sessione compromessa. In ambienti dove NoMachine espone terminali condivisi, account di servizio con password deboli, o configurazioni con autenticazione integrata in sistemi aziendali, il salto da accesso legittimo a RCE si contrae drasticamente.
Il servizio web su TCP 4000 è spesso esposto per abilitare l'accesso remoto a workstation e server; in infrastrutture con segmentazione debole, una singola compromissione può aprire la visuale sulla rete interna. L'advisory ZDI non documenta exploit in-the-wild né tecniche di pivoting post-compromissione, ma il contesto dell'account servizio offre foothold sufficiente per ricognizione interna.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of NoMachine. Authentication is required to exploit this vulnerability." — ZDI Advisory ZDI-26-483
Perché è importante
Il brief non specifica misure correttive dettagliate oltre all'aggiornamento generico rilasciato da NoMachine. L'advisory ZDI non fornisce CVE assegnato, punteggio CVSS, versioni interessate né URL diretto della patch. Gli operatori non possono verificare se la propria installazione è vulnerabile tramite numero di versione o advisory del produttore.
Il dossier non documenta inoltre:
- La natura dei dati gestiti dalle installazioni esposte
- La presenza di exploit pubblici o in-the-wild
- L'identità del ricercatore che ha scoperto la falla
- Eventuali contromisure di mitigazione alternative all'aggiornamento
Cinque giorni di disclosure coordinata segnalano una collaborazione funzionale tra ZDI e NoMachine, ma la forma del rilascio — advisory ZDI senza corrispondente documentazione vendor — lascia un vuoto operativo. Gli amministratori si trovano a dover aggiornare un software di accesso remoto senza poter valutare il rischio residuo su versioni precedenti.
Cosa fare adesso
Gli operatori con NoMachine in produzione devono verificare l'esposizione del servizio web sulla porta TCP 4000. Se il servizio è raggiungibile da reti non attendibili, la priorità è l'applicazione dell'aggiornamento rilasciato da NoMachine entro il 29 luglio 2026.
Non essendo dichiarate versioni specifiche affette, ogni installazione con servizio web attivo rientra nella superficie di attacco potenziale. Le verifiche devono concentrarsi su:
- Conferma che il servizio su TCP 4000 sia effettivamente in ascolto
- Identificazione di eventuali istanze con autenticazione a password debole o condivisa
- Consultazione dei canali di distribuzione NoMachine per l'ultima build disponibile
L'assenza di CVE, CVSS e advisory vendor impedisce la classificazione per gravità standard. L'unico indicatore certo è la conferma ZDI che la falla consente RCE autenticata, con esecuzione nel contesto dell'account servizio.
Domande frequenti
Perché ZDI-26-483 non ha un CVE associato?
L'advisory ZDI non dichiara un identificatore CVE. Zero Day Initiative può pubblicare advisory prima della formalizzazione MITRE o il vendor può gestire la correzione senza richiedere assegnazione immediata. Il CVE non è obbligatorio per la validità tecnica della segnalazione.
Quali installazioni sono effettivamente a rischio?
La fonte non elenca versioni specifiche. Ogni installazione con servizio web attivo sulla porta TCP 4000 e funzione getstat accessibile rientra nella descrizione della falla. L'advisory indica "affected installations" senza qualificatore di versione.
Come verificare se il proprio NoMachine è aggiornato?
Il dossier non specifica procedure di verifica. La fonte indica genericamente che NoMachine ha rilasciato un aggiornamento; gli operatori devono consultare i canali di distribuzione del vendor per identificare la build correttiva più recente.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-483/
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html