L'advisory ZDI-26-462 pubblicato il 29 luglio 2026 svela una vulnerabilità di esecuzione remota di codice in GIMP, il diffuso editor di immagini open source. Il difetto, tracciato come CVE-2026-18309, risiede nel parser dei file APNG e consente a un attaccante di compromettere il sistema quando l'utente apre un file grafico malevolo. Il vendor ha rilasciato un aggiornamento correttivo nel corso della stessa giornata di pubblicazione coordinata.
- La vulnerabilità CVE-2026-18309 consente esecuzione remota di codice arbitrario in GIMP tramite file APNG malevoli.
- Il meccanismo d'attacco è un integer overflow causato da mancata validazione dei dati utente durante l'allocazione del buffer di parsing.
- L'exploit richiede interazione utente: l'apertura di un file malevolo o la visita a una pagina web che lo carichi automaticamente.
- Il ciclo di divulgazione coordinata è durato 104 giorni, dalla segnalazione al vendor il 17 aprile 2026 fino al rilascio pubblico del 29 luglio 2026.
Il difetto: integer overflow nel parsing APNG di GIMP
Il problema tecnico è localizzato nel modulo di decodifica dei file APNG (Animated Portable Network Graphics) di GIMP. Secondo l'advisory ZDI, il parser non valida correttamente i dati forniti dall'utente prima di calcolare la dimensione del buffer da allocare. Questa mancata validazione può generare un integer overflow, con conseguente allocazione di un buffer di dimensioni errate.
La corruzione di memoria che ne deriva si traduce in un'opportunità di esecuzione di codice arbitrario nel contesto del processo GIMP. La scelta del formato APNG non è casuale: si tratta di un'estensione del diffuso PNG che supporta animazioni, e come tale è gestita da parser dedicati all'interno di applicazioni grafiche. La complessità di questi formati legacy, spesso ereditata da librerie con decenni di storia, li rende particolarmente sensibili a difetti di calcolo aritmetico.
L'advisory ZDI descrive esplicitamente l'impatto come esecuzione di codice arbitrario su installazioni di GIMP affette dal problema. Non emergono nel dossier informazioni su eventuali sandbox o meccanismi di isolamento che possano contenere l'exploit.
Il vettore di attacco: perché l'interazione non è protezione sufficiente
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — ZDI Advisory ZDI-26-462
La richiesta di interazione utente, lungi dall'essere una mitigazione robusta, definisce il profilo del rischio. Gli scenari di attacco plausibili includono campagne di spear-phishing dirette a professionisti creativi, distribuzione di asset grafici malevoli su piattaforme di download, o pagine web che incorporano immagini APNG per innescare il parsing automatico.
La superficie d'attacco è amplificata dalla natura del software: GIMP è impiegato in flussi di lavoro che elaborano routineinariamente file provenienti da fonti esterne — clienti, banche immagini, asset condivisi su piattaforme collaborative. La consapevolezza dell'utente finale, anche tecnicamente preparato, può essere aggirata dalla familiarità con il formato PNG/APNG, percepito come innocuo.
Il dossier non specifica se il difetto sia attualmente sfruttato in-the-wild, né documenta la presenza di exploit pubblici.
Cosa fare adesso
Gli utenti di GIMP devono applicare le seguenti azioni prioritarie, coerentemente con quanto indicato dall'advisory:
- Installare l'aggiornamento rilasciato dal vendor GIMP per correggere la vulnerabilità CVE-2026-18309.
- Verificare che l'origine di ogni file APNG e PNG ricevuto sia attendibile prima dell'apertura in GIMP.
- Evitare l'apertura di file grafici scaricati da pagine web o piattaforme di condivisione non verificate.
- Monitorare gli annunci ufficiali del progetto GIMP per eventuali dettagli aggiuntivi sulle versioni corrette.
Non essendo indicate nel brief versioni specifiche affette o non affette, gli utenti devono fare riferimento direttamente ai canali ufficiali del progetto GIMP per determinare lo stato di aggiornamento della propria installazione.
Le incognite del dossier
Il brief presenta limiti significativi che condizionano la valutazione del rischio. Manca il punteggio CVSS e il vettore di scoring, elementi che permetterebbero di collocare la severità del bug in una scala comparabile. Non sono indicate le versioni specifiche di GIMP affette, rendendo impossibile una stima della popolazione di utenti a rischio. L'URL di patch fornito dall'advisory ZDI punta alla stessa advisory, senza reindirizzare a una risorsa tecnica del vendor.
Resta inoltre non documentata l'identità del ricercatore che ha scoperto e segnalato il difetto. La mancanza di questi elementi non intacca la fondatezza tecnica dell'advisory, ma riduce la capacità di prioritizzazione per i team di sicurezza che gestiscono parche software eterogenei.
Perché i parser multimediali restano terreno fertile
La lettura più ampia suggerisce un pattern sistemico. Mentre l'attenzione della ricerca sulla sicurezza e delle risorse di difesa si concentra su vulnerabilità network-facing — server esposti, API cloud, servizi remoti — i parser di formati multimediali tradizionali ricevono audit con frequenza irregolare. GIMP, come altri tool creativi open source con cicli di sviluppo volontaristico, può accumulare debito tecnico in componenti di parsing meno scrutinati.
Il formato APNG, nato come estensione non ufficiale di PNG e standardizzato solo in tempi relativamente recenti, incarna questa tensione: implementazioni mature che devono digerire specifiche complesse senza i controlli formali tipici di protocolli più centrali. L'integer overflow qui documentato è un archetipo ricorrente in questo dominio — la discrepanza tra input utente e calcolo di dimensioni di memoria — che le pratiche di sviluppo moderno tendono a prevenire, ma che persiste nei codebase legacy.
Per professionisti creativi, sviluppatori e organizzazioni che impiegano GIMP in pipeline di produzione, il messaggio è che la catena di approvvigionamento degli asset grafici costituisce un vettore d'attacco concreto, non teorico. La consapevolezza del formato non basta: la validazione deve spostarsi a monte, verso la verifica dell'origine e l'isolamento delle sessioni di editing.
L'advisory ZDI-26-462 non è un incidente isolato, ma un campione di una superficie d'attacco sottovalutata che attende solo l'attenzione proporzionata al rischio che effettivamente rappresenta.
Domande frequenti
Quali versioni di GIMP sono affette dalla vulnerabilità?
Il dossier non specifica le versioni interessate. L'advisory ZDI indica genericamente "affected installations of GIMP" senza enumerare release. Gli utenti devono consultare i canali ufficiali del progetto GIMP per verificare lo stato della propria installazione.
È necessario disinstallare GIMP in attesa della patch?
L'advisory ZDI dichiara che GIMP ha già rilasciato un aggiornamento correttivo. La raccomandazione documentata è l'installazione dell'update, non la disinstallazione del software.
Il formato PNG statico presenta lo stesso rischio?
Il brief non menziona vulnerabilità nel parser PNG standard. Il difetto è specificato per il parsing dei file APNG, formato che estende PNG con supporto per animazioni.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-462/
- https://www.cve.org/CVERecord?id=CVE-2026-18309
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.