Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Il 16 settembre 2026 TrendAI ha pubblicato l'advisory ZDI-26-711 su una vulnerabilità di escalation di privilegi locali nel meccanismo di autenticazione Redis di NoMachine. La falla, scoperta il 29 luglio e comunicata al vendor con disclosure coordinata, sfrutta entropia crittograficamente insufficiente nella generazione delle credenziali del database interno: un attaccante con accesso locale e privilegi limitati può prevedere o derivare tali credenziali, bypassare l'autenticazione ed eseguire codice nel contesto dell'account di servizio. Il CVE assegnato è il 2026-92209, attualmente in stato reserved.
- Entropia insufficiente: la generazione delle credenziali Redis interno di NoMachine usa entropia crittograficamente inadeguata, rendendo le chiavi prevedibili o derivabili
- Condizione di attacco: l'aggressore deve già disporre della capacità di eseguire codice a basso privilegio sul sistema target
- Impatto documentato: exploit riuscito permette esecuzione di codice arbitrario nel contesto dell'account di servizio con escalation di privilegi locali
- Patch disponibili: NoMachine ha rilasciato le versioni corrette 10.1.7, 9.9.6 e 8.27.1
Il meccanismo: come Redis "invisibile" diventa superficie di attacco
NoMachine impiega Redis come componente infrastrutturale interno, invisibile all'utente finale che interagisce con il client di remote desktop. La scoperta di ZDI-26-711 sposta l'attenzione proprio su questo strato nascosto: il meccanismo di autenticazione che controlla l'accesso al database Redis genera credenziali con entropia insufficiente. Questa debolezza non è un errore di configurazione sistemico o una password default dimenticata, ma un difetto di progettazione nel processo di generazione stesso.
L'advisory specifica che l'attaccante "must first obtain the ability to execute low-privileged code on the target system". La formulazione esclude lo sfruttamento remoto e circoscrive il rischio agli ambienti multi-utente dove attori non privilegiati dispongono già di shell o esecuzione codice locale. Una volta superato il confine Redis, la vulnerabilità permette di "escalate privileges and execute arbitrary code in the context of the service account".
La discrepanza tra visibilità utente e complessità interna
L'angolo più rilevante di questa scoperta sta nella distanza percettiva tra l'interfaccia utente di NoMachine e la sua architettura sottostante. Gli utenti finali vedono un tool di remote desktop; gli amministratori di sistema devono invece tracciare dipendenze infrastrutturali come Redis, spesso assenti dalle valutazioni di sicurezza superficiale. La vulnerabilità dimostra che componenti "invisibili" possono diventare il perno di attacchi con impatto elevato sulla segregazione dei privilegi.
Il database Redis in questione non è un'istanza esposta alla rete o configurata dall'amministratore: è un componente integrato, gestito trasparentemente dal prodotto. Questo modello di deployment, comune nel software enterprise, trasferisce al vendor la responsabilità della sicurezza crittografica interna. Quando tale responsabilità fallisce, come nel caso della generazione credenziali a entropia ridotta, la superficie di attacco si materializza in un punto che le checklist di hardening standard difficilmente intercettano.
"The specific flaw exists within the authentication mechanism controlling access to the Redis database. The issue results from using insufficient entropy in the generation of credentials." — ZDI Advisory ZDI-26-711
Timeline e disponibilità delle correzioni
La finestra temporale tra scoperta e patch è misurabile: 49 giorni tra il report al vendor del 29 luglio 2026 e il rilascio coordinato del 16 settembre 2026. NoMachine ha distribuito correzioni su tre branch di versione: 10.1.7 per la linea principale, 9.9.6 per la serie precedente, e 8.27.1 per le installazioni legacy. Il dossier non specifica se le versioni intermedie siano affette o se esistano altre branch non menzionate.
Il CVE-2026-92209, assegnato alla vulnerabilità, è attualmente in stato reserved su cve.org: il record esiste ma non contiene ancora dettagli tecnici popolati. Questo ritardo non è anomalo per disclosure recenti, ma lascia un gap temporale in cui il tracking vulnerability standardizzato non fornisce informazioni aggiuntive rispetto all'advisory ZDI.
Perché è importante
Il brief non documenta misure correttive specifiche oltre all'aggiornamento di versione. Il dossier non specifica la natura dei dati gestiti dal Redis interno, né se l'account di servizio compromesso abbia accesso a file system, configurazioni di rete o altre risorse sensibili. L'advisory ZDI non riporta punteggio CVSS, vettore di attacco o identità del ricercatore, il che suggerisce una pubblicazione in forma minimale: informazioni aggiuntive potrebbero emergere da aggiornamenti futuri.
La fonte non specifica se siano stati pubblicati exploit o dimostrazioni PoC, né se la vulnerabilità sia stata attivamente sfruttata in-the-wild. L'assenza di questi elementi non abbassa il profilo di rischio per le organizzazioni che utilizzano NoMachine in ambienti multi-utente, ma impedisce di quantificare la probabilità di attacco.
Domande frequenti
La vulnerabilità è sfruttabile da remoto?
No. L'advisory ZDI specifica esplicitamente che l'attaccante deve già disporre della capacità di eseguire codice a basso privilegio sul sistema target. Si tratta di una escalation di privilegi locale, non di una vulnerabilità di accesso remoto.
Posso verificare se la mia installazione è vulnerabile senza conoscere la versione esatta?
Il dossier non fornisce indicatori di compromesso o metodi di rilevamento alternativi alla verifica versione. NoMachine ha rilasciato patch per le branch 10.x, 9.x e 8.x: l'identificazione della versione installata rimane il criterio determinante.
Perché il CVE non contiene ancora dettagli?
Il record CVE-2026-92209 è in stato reserved, condizione standard per identificatori assegnati ma non ancora popolati con descrizione tecnica. L'advisory ZDI rimane la fonte primaria strutturata disponibile.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.