Oracle ha rilasciato il 21 luglio 2026 le patch per quattro vulnerabilità in Hospitality Simphony, la piattaforma POS usata in catene alberghiere, ristoranti quick-service, stadi e casinò. Le falle, scoperte e divulgate responsabilmente dal ricercatore Jimi Sebree di Horizon3.ai, permettono a un attaccante non autenticato di ottenere hash NTLM, scrivere file arbitrari ed eseguire codice remoto sui sistemi di pagamento. Il problema non riguarda solo il singolo terminale: i POS ospitalità sono nodi di rete spesso sovraesposti, connessi a infrastrutture aziendali e soggetti a requisiti PCI-DSS che una compromissione rende immediatamente violabili.
- Quattro CVE (CVE-2026-60167, CVE-2026-60168, CVE-2026-60169, CVE-2026-60170) colpiscono Oracle Hospitality Simphony nelle versioni 19.8-19.8.5, 19.9-19.9.3 e 19.10.
- CVE-2026-60168 ha il punteggio più alto: CVSS 9.1, con impatti su integrità e disponibilità (I:H/A:H), ed è valutata da CISA-ADP con technicalImpact total e automatable: yes.
- L'EGateway Printing Handler è il punto di ingresso per tre falle: UNC path coercion per furto di hash NTLM e catena di arbitrary file write.
- CVE-2026-60170 nel Simphony Kiosk application permette authentication bypass e conseguente esecuzione di codice arbitrario sulla macchina sottostante.
Come funziona l'attacco: dall'EGateway al controllo del sistema
Le vulnerabilità si concentrano su due componenti distinti della piattaforma Simphony, con una radice comune: l'insufficiente validazione di input controllato dall'attaccante. Nell'EGateway Printing Handler, CVE-2026-60167 sfrutta una UNC path coercion. L'attaccante invia un percorso di rete artificioso che induce il sistema Simphony a iniziare una connessione SMB outbound. A quel punto, secondo la descrizione tecnica di Horizon3.ai, "Windows may automatically transmit NTLM authentication material during this connection". Gli hash catturati possono essere craccati offline o relayati verso altri sistemi.
CVE-2026-60168 e CVE-2026-60169 agiscono invece come catena all'interno dello stesso componente di stampa. Oracle ha assegnato due identificatori a "distinct weaknesses within the processing chain that together create a single arbitrary file write condition", come riporta l'advisory di Horizon3.ai. La mancata validazione dell'input prima delle operazioni su file permette di scrivere dati arbitrari nel filesystem del server, con potenziale sovrascrittura di file critici di sistema o applicativi.
La quarta falla, CVE-2026-60170, colpisce il Simphony Kiosk application. L'authentication bypass ottenuto sfruttando input malformati apre l'accesso alla console amministrativa. Horizon3.ai ha dimostrato che "this unauthorized administrative access can be leveraged to execute arbitrary code on the underlying host". Il passaggio da bypass autenticazione a RCE è documentato e verificato.
I numeri: punteggi CVSS e un'anomalia da spiegare
I quattro CVE presentano profili di rischio differenziati. Secondo i record NVD, CVE-2026-60168 raggiunge CVSS 9.1 con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H: accessibile da rete, facile da sfruttare, senza requisiti di privilegi o interazione utente, con impatti massimi su integrità e disponibilità. CISA-ADP conferma la gravità con technicalImpact: total e automatable: yes, segnalando che l'automazione dell'attacco è pienamente realizzabile.
CVE-2026-60169 ha un profilo anomalo: CVSS 8.1 con vettore C:H/I:H/A:H ma AC:H, il che lo rende l'unico dei quattro con access complexity "difficile". CISA-ADP assegna comunque technicalImpact: total, ma automatable: no, in contrasto con la valutazione degli altri tre CVE. La discrepanza non è spiegata dettagliatamente nelle fonti disponibili: l'AC:H potrebbe riflettere condizioni specifiche della catena di exploit o requisiti di timing, ma il dossier non fornisce chiarimenti.
"Oracle assigned two CVEs to distinct weaknesses within the processing chain that together create a single arbitrary file write condition" — Horizon3.ai advisory
CVE-2026-60167 e CVE-2026-60170 condividono entrambi CVSS 7.5, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. L'impatto è limitato alla confidenzialità (furto di hash), senza effetti diretti su integrità o disponibilità. La combinazione dei quattro CVE però espone il sistema a scenari complessi: furto di credenziali, persistenza via file write, e controllo remoto via RCE.
Cosa fare adesso
- Applicare le patch rilasciate da Oracle nel Critical Patch Update del 21 luglio 2026; l'accesso ai fix richiede credenziali My Oracle Support.
- Verificare la presenza nelle reti interne delle versioni affette (19.8-19.8.5, 19.9-19.9.3, 19.10) e pianificare l'aggiornamento o l'isolamento dei sistemi non patchabili.
- Ridurre la visibilità SMB outbound dai server Simphony verso reti non affidabili, limitando la superficie per l'UNC path coercion di CVE-2026-60167.
- Monitorare i log di autenticazione del Simphony Kiosk application per accessi amministrativi anomali che possano indicare tentativi di sfruttamento di CVE-2026-60170.
Perché il POS è il ponte dimenticato della sicurezza enterprise
I sistemi di punto vendita nell'ospitalità rappresentano un paradosso di esposizione: processano dati di pagamento sensibili, sono soggetti a compliance PCI-DSS, ma spesso ricevono meno attenzione di sicurezza rispetto ai server ERP o alle workstation aziendali. La loro connettività di rete—necessaria per sincronizzazione menu, gestione ordini, reporting centralizzato—li trasforma in pivot ideali per il movimento laterale. Le quattro falle di Simphony non richiedono autenticazione pregressa, abbassando drasticamente la soglia di accesso per un attaccante.
L'assenza di conferme di sfruttamento attivo in-the-wild, documentata da Horizon3.ai, non attenua il rischio: la pubblicazione dell'advisory tecnico e l'inclusione nel Critical Patch Update di Oracle rendono le vulnerabilità oggettivamente rilevabili. La valutazione CISA-ADP su CVE-2026-60168 (automatable: yes) indica inoltre che strumenti di exploit automatizzati sono tecnicamente fattibili.
Il dossier non quantifica il numero esatto di sistemi esposti su Internet. Oracle dichiara che "Earlier unsupported releases were not evaluated", lasciando aperta la questione delle versioni precedenti al 19.8. Non è noto se esistano exploit pubblici oltre al test NodeZero di Horizon3.ai. Questi limiti non riducono la criticità delle patch, ma indicano aree di monitoraggio per le squadre di sicurezza.
FAQ
Le vulnerabilità sono interconnesse o indipendenti?
Ci sono due cluster separati: tre CVE sull'EGateway Printing Handler (CVE-2026-60167, CVE-2026-60168, CVE-2026-60169) e una sul Simphony Kiosk (CVE-2026-60170). All'interno del primo cluster, CVE-2026-60168 e CVE-2026-60169 formano una catena per il file write arbitrario.
Perché CVE-2026-60169 ha AC:H mentre gli altri hanno AC:L?
Il record NVD indica "Difficult to exploit vulnerability" per CVE-2026-60169, ma le fonti non spiegano dettagliatamente il motivo della differenza rispetto agli altri tre CVE. La discrepanza rimane documentata ma non chiarita nel brief disponibile.
I sistemi in cloud sono affetti?
Il dossier non specifica se le istanze cloud di Oracle Hospitality Simphony siano gestite autonomamente dal vendor o dal cliente, né se Oracle applichi le patch in modalità managed. La verifica ricade sul singolo operatore.
Fonti
- https://horizon3.ai/attack-research/vulnerabilities/oracle-hospitality-simphony-vulnerabilities/
- https://www.cve.org/CVERecord?id=CVE-2026-60167
- https://nvd.nist.gov/vuln/detail/CVE-2026-60167
- https://nvd.nist.gov/vuln/detail/CVE-2026-60170
- https://nvd.nist.gov/vuln/detail/CVE-2026-60168
- https://nvd.nist.gov/vuln/detail/CVE-2026-60169
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.