Alpine iLX-F511: 0-day automotive svelata a Pwn2Own, nessuna patch dopo otto mesi

Il 28 ottobre 2026 Zero Day Initiative ha pubblicato l'advisory ZDI-26-824, rendendo pubblica una vulnerabilità zero-day nel sistema infotainment Alpine iLX-F511. La flaw consente esecuzione di codice arbitrario con privilegi di root a un attaccante nella stessa rete, senza alcuna autenticazione. La divulgazione chiude una finestra di circa otto mesi e mezzo: dal report iniziale del 4 febbraio 2026 alla mancata correzione da parte di Alpine.

"This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Alpine iLX-F511 devices. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-824

Il meccanismo della vulnerabilità

Secondo l'advisory ZDI, la vulnerabilità specifica risiede nel framework service del dispositivo: "The specific flaw exists within the framework service. The issue results from an exposed dangerous function." Il termine tecnico indica una funzione programmatica accessibile dall'esterno senza i controlli di sicurezza necessari a limitarne l'uso.

Non si tratta di un buffer overflow o di un errore di parsing, ma di un'interfaccia progettata per essere invocata da altri processi che risulta raggiungibile senza autenticazione. La conseguenza è documentata nella stessa fonte: "An attacker can leverage this vulnerability to execute code in the context of root."

Network-adjacent: il vettore e i suoi confini

L'advisory specifica che l'attaccante deve essere "network-adjacent", nel linguaggio CVSS codificato come AV:A (Attack Vector: Adjacent). L'aggressore deve trovarsi sulla stessa rete fisica o logica del dispositivo: stessa rete locale Wi-Fi, stessa subnet, o in prossimità fisica con capacità di interazione a livello di collegamento dati.

Per un sistema infotainment automotive, questa condizione ha implicazioni concrete. L'iLX-F511 integra connettività Wi-Fi e Bluetooth per smartphone mirroring, aggiornamenti e streaming. Un veicolo parcheggiato in aree con reti condivise, una flotta con hotspot aziendali, o un access point compromesso possono costituire la rete condivisa che rende il dispositivo raggiungibile. La fonte non specifica quale interfaccia sia il veicolo primario dell'attacco.

Pwn2Own Automotive: l'exploit come prova

La vulnerabilità è catalogata come ZDI-CAN-29006 nella lista ZDI con annotazione esplicita "(Pwn2Own)". Pwn2Own Automotive è il contest di hacking su target veicolari organizzato da Trend Micro. La partecipazione richiede la dimostrazione pratica di exploit funzionanti su hardware reale.

Il fatto che la flaw sia stata dimostrata in questo contesto significa che l'exploit è stato eseguito con successo su hardware reale di fronte a osservatori indipendenti. I ricercatori — Cyrill Bannwart, Emanuele Barbeno, Yves Bieri, Lukasz D. e Urs Mueller di Compass Security — hanno dimostrato la catena completa dall'accesso network-adjacent all'esecuzione come root.

Il punteggio CVSS 8.8 e la classificazione HIGH derivano dalla lista aggregata ZDI (fonte 2), non dall'advisory principale ZDI-26-824. L'advisory primario non riporta esplicitamente CVE né punteggio CVSS nel testo.

La timeline di una disclosure fallita

La cronologia documentata è lineare. Il 4 febbraio 2026 i ricercatori hanno inviato il report. Il 7 giugno 2026 Alpine ha riconosciuto la ricezione e richiesto un'estensione. Il 15 ottobre 2026 ZDI ha notificato l'intenzione di pubblicare come zero-day. Il 28 ottobre 2026 è avvenuta la disclosure pubblica.

In questa finestra di circa otto mesi e mezzo, nessuna patch è stata rilasciata. L'advisory riporta testualmente: "Given the nature of the vulnerability, the only salient mitigation strategy is to restrict interaction with the product". Questa formulazione, rara nella produzione ZDI, indica che il programma di disclosure non ha identificato contromesse efficaci oltre all'isolamento del dispositivo.

Cosa fare adesso

Poiché la fonte primaria non elenca azioni correttive specifiche oltre alla restrizione dell'interazione, le indicazioni si limitano a quanto documentato:

• Limitare la connettività di rete dell'unità Alpine iLX-F511 a reti attendibili e isolate
• Evitare reti Wi-Fi pubbliche o condivise con dispositivi non verificati
• Monitorare comunicazioni di Alpine su future patch firmware: nessun aggiornamento è disponibile al momento della disclosure

Perché è importante

La vulnerabilità ZDI-26-824 si colloca in un punto critico dell'ecosistema automotive. I sistemi infotainment aftermarket come l'iLX-F511 sono installati su veicoli già in circolazione, spesso senza i processi di aggiornamento automatico tipici delle piattaforme OEM. Questa architettura crea una classe di dispositivi che rimangono esposti per periodi prolungati quando il vendor non rilascia patch tempestive.

Il silenzio di Alpine dopo otto mesi di disclosure coordinata solleva domande sulle capacità di risposta del vendor nel settore aftermarket. A differenza dei costruttori OEM vincolati a normative come UN R155/R156 su cybersecurity veicolare, i produttori di componenti aftermarket operano in un contesto normativo frammentato. Per il pubblico italiano, questo significa che la conformità a standard di sicurezza attivi dipende dalle politiche individuali del vendor, non da un framework regolatorio uniforme.

La fonte unica ZDI limita la valutazione del rischio reale. Non è disponibile: il numero di dispositivi esposti, la versione firmware specifica affetta, i dettagli tecnici della funzione vulnerabile, la presenza di exploit pubblici al di fuori del contesto Pwn2Own, o un piano di rilascio patch da parte di Alpine. Questi gap rendono impossibile stimare la probabilità di attacchi reali nel campo, pur essendo documentata la fattibilità tecnica dell'exploit.

Il caso rientra in un pattern ricorrente nel settore infotainment: la dimostrazione di vulnerabilità critiche a Pwn2Own, seguita da disclosure 0-day per mancata risposta del vendor. La differenza tra la retorica di sicurezza dei prodotti automotive e la realtà delle dimostrazioni pubbliche rimane un divario non colmato, con conseguenze concrete per utenti e flotte che integrano questi dispositivi.

Nota sui limiti delle fonti. L'articolo si basa esclusivamente sull'advisory ZDI-26-824 e sulla lista aggregata ZDI che conferma CVE-2026-118606, CVSS 8.8 e contesto Pwn2Own. Nessuna fonte primaria indipendente, comunicato Alpine, o segnalazione di incidenti reali è disponibile al momento della pubblicazione. La valutazione del rischio per utenti italiani è quindi condizionata da questa limitazione documentale.

Fonti

• zerodayinitiative.com
• zerodayinitiative.com