Il 29 luglio 2026 Trend Micro ha pubblicato l'advisory ZDI-26-480 che documenta una vulnerabilità di esecuzione remota di codice in OSNEXUS QuantaStor, piattaforma enterprise di software-defined storage. La falla, identificata come CVE-2026-18265 con punteggio CVSS 9.8, sfrutta la mancanza di autenticazione in Kapacitor, componente di terze parti dello stack TICK di InfluxData integrato nel prodotto. Il report al vendor era stato inviato il 10 giugno: 49 giorni di disclosure coordinata che non hanno prodotto, allo stato attuale, l'indicazione di una patch rilasciata da OSNEXUS.
- CVE-2026-18265 riceve CVSS 9.8 da ZDI: l'accesso remoto con esecuzione di codice arbitrario in contesto root non richiede credenziali.
- La vulnerabilità risiede nella configurazione di Kapacitor, non in una falla intrinseca del componente InfluxData, ma nella sua integrazione in QuantaStor.
- Il report al vendor è datato 10 giugno 2026; la pubblicazione coordinata è avvenuta il 29 luglio 2026 senza che l'advisory ZDI indichi un URL di patch specifico.
- Il CVE Record è stato pubblicato il 28 luglio 2026, con un giorno di anticipo rispetto alla coordinated release ZDI.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of OSNEXUS QuantaStor. Authentication is not required to exploit this vulnerability." — Trend Micro Zero Day Initiative, Advisory ZDI-26-480
La catena di dipendenza che espone il root
La segnalazione ZDI-26-480 mette in luce un pattern ricorrente nell'infrastruttura enterprise: i componenti di terze parti integrati nel perimetro proprietario diventano il percorso di minor resistenza per gli attaccanti. Kapacitor, task engine dello stack TICK di InfluxData, è progettato per elaborare stream di time-series data e generare alert. Nel contesto QuantaStor, la sua configurazione omette il requisito di autenticazione per l'accesso alle funzionalità operative.
L'advisory ZDI specifica che "the specific flaw exists within the configuration of Kapacitor. The issue results from the lack of authentication prior to allowing access to functionality". La conseguenza è l'escalation immediata: "An attacker can leverage this vulnerability to execute code in the context of root". Il privilegio massimo viene raggiunto senza intermediazione, senza credenziali compromesse, senza catene di exploit complesse.
La distinzione è tecnica ma rilevante. Kapacitor non è vulnerabile di per sé in tutte le installazioni: la falla è nella configurazione specifica adottata da OSNEXUS per QuantaStor. Questo sposta il focus dalla responsabilità del maintainer open source a quella del vendor che integra, distribuisce e imposta i default di sicurezza del prodotto finale.
QuantaStor nel mirino: il profilo del target
OSNEXUS QuantaStor è una piattaforma di storage software-defined orientata a data center, cloud provider e infrastrutture enterprise che richiedono unified storage con gestione via REST API. L'integrazione di strumenti di monitoring e time-series analytics è funzionale alla telemetria delle performance e alla diagnostica operativa, ma espone superficie di attacco quando la sicurezza dei componenti ausiliari non è allineata al profilo di rischio del sistema principale.
Il brief non specifica il numero di installazioni potenzialmente esposte né se i sistemi QuantaStor siano tipicamente accessibili da internet o relegati a segmenti di rete interni. Questa indeterminazione non attenua la gravità intrinseca: un servizio senza autenticazione che permette RCE con privilegi root rappresenta compromissione totale del nodo, con potenziale movimento laterale nella rete di storage se il sistema compromesso detiene trust relationship con altri componenti dell'infrastruttura.
Il vuoto operativo: cosa sappiamo e cosa manca
L'advisory ZDI-26-480 non elenca versioni specifiche di QuantaStor affette dal problema. Non indica un URL di patch rilasciato da OSNEXUS né una procedura di mitigazione temporanea. La timeline riporta unicamente la data di report (10 giugno 2026) e quella di pubblicazione coordinata (29 luglio 2026), senza menzionare rilasci intermedi o comunicazioni vendor.
Il record CVE-2026-18265, pubblicato il 28 luglio 2026, conferma l'esistenza dell'identificatore ma non arricchisce il quadro con dettagli tecnici aggiuntivi o indicazioni di versioni corrette. Il silenzio sullo stato di sfruttamento attivo in-the-wild non costituisce prova di assenza: le fonti disponibili non documentano né confermano exploitation rilevata al momento della pubblicazione.
Questi limiti delineano un perimetro di incertezza operativa che le organizzazioni che impiegano QuantaStor devono navigare senza indicazioni ufficiali dal vendor. La mancanza di versioni specifiche impedisce la verifica rapida dell'esposizione tramite scanning di asset; l'assenza di patch nota blocca il percorso di remediation diretta.
Cosa fare adesso
Le raccomandazioni seguenti derivano esclusivamente dalle azioni e dalle constatazioni presenti nelle fonti documentate nel brief:
- Verificare la presenza di Kapacitor nelle installazioni QuantaStor e determinarne la raggiungibilità di rete, dato che l'advisory ZDI identifica la mancanza di autenticazione nel componente come vettore d'attacco.
- Consultare direttamente OSNEXUS per l'eventuale disponibilità di aggiornamenti o configurazioni corrette non ancora riflettute negli advisory pubblici, dato che il brief non riporta patch URL specifici.
- Rivedere la segmentazione di rete che espone servizi di monitoring e time-series analytics, considerando che l'advisory classifica l'exploit come remotamente realizzabile senza credenziali.
- Documentare le installazioni QuantaStor presenti nell'inventario infrastrutturale per accelerare la verifica una volta che OSNEXUS renda disponibili indicazioni di versione o mitigazione.
La lezione della supply chain nascosta
ZDI-26-480 non è una storia di vulnerabilità zero-day in un prodotto monolitico. È il ritratto di un ecosistema dove le garanzie di sicurezza del sistema finale dipendono dalla corretta integrazione di componenti sviluppati da terze parti, con default di configurazione che possono annullare l'intero perimetro difensivo. Il CVSS 9.8 non deriva da complessità dell'exploit ma dalla sua semplicità: mancanza di autenticazione, esecuzione remota, privilegi massimi.
Il caso solleva interrogativi sulla governance dei componenti integrati nei sistemi storage enterprise. Quando un vendor incorpora strumenti di terze parti per funzionalità operative, l'onere della verifica della superficie di attacco si sposta dal maintainer originale all'integratore finale. L'advisory ZDI documenta che questo onere, in QuantaStor, non è stato soddisfatto nella configurazione di Kapacitor.
Per le redazioni di sicurezza e i team operativi, il monitoraggio non può più limitarsi ai CVE del prodotto principale. Deve estendersi alla catena di dipendenza tecnologica che lega storage, monitoring, time-series analytics e i relativi endpoint di gestione. La prossima RCE con CVSS 9.8 potrebbe risiedere in un componente che il vendor non ha nemmeno sviluppato, ma solo integrato male.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-480/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-18265
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.