ZDI ha reso pubblico il 13 luglio 2026 l'advisory ZDI-26-400 per una vulnerabilità 0-day in AnyDesk, identificata come CVE-2026-15681 con punteggio CVSS 4.7. Il vendor non ha rilasciato una correzione nonostante un processo di coordinated disclosure durato 16 mesi, culminato nella classificazione del problema come "out of scope" a dicembre 2025.
La pubblicazione forzata da parte di un programma di bug bounty di riferimento solleva questioni immediate sulla gestione della supply chain di sicurezza per software di accesso remoto, categoria particolarmente sensibile per la perimetrale enterprise.
- ZDI ha pubblicato l'advisory ZDI-26-400 il 13 luglio 2026 per una vulnerabilità 0-day in AnyDesk, con CVE-2026-15681 assegnato e CVSS 4.7.
- La falla consente a un attaccante locale con codice a basso privilegio di causare denial-of-service manipolando i file di screen recording tramite junction NTFS.
- Il coordinated disclosure è iniziato il 25 marzo 2025; dopo 16 mesi il vendor ha dichiarato il problema "out of scope" l'11 dicembre 2025.
- Non esiste patch al momento della pubblicazione: l'advisory è stato rilasciato come 0-day con il vendor che non ha confermato né rilasciato fix.
Il meccanismo: come un junction sui file di registrazione blocca il servizio
La vulnerabilità risiede nel modo in cui AnyDesk gestisce i file di screen recording. Secondo la documentazione tecnica dell'advisory, la creazione di un junction — una reparse point NTFS che reindirizza un percorso verso un'altra locazione nel filesystem — permette di deviare le operazioni di scrittura del servizio verso destinazioni arbitrarie.
Il risultato è la sovrascrittura o creazione di file non autorizzati, con conseguente denial-of-service della funzionalità. Questa classe di bug, nota come link following, è documentata in applicazioni Windows che non validano correttamente i path prima delle operazioni su file.
"The specific flaw exists within the handling of screen recording files. By creating a junction, an attacker can abuse the service to create arbitrary files" — ZDI Advisory ZDI-26-400
Il requisito di accesso locale con bassi privilegi riduce la superficie di attacco rispetto a vettori remoti, ma non la annulla in ambienti enterprise dove account condivisi, terminali pubblici o compromissioni parziali sono scenari reali.
La timeline di una disclosure fallita: 16 mesi senza risposta
La cronologia documentata da ZDI mostra un percorso di coordinated disclosure che si è infranto su una risposta del vendor. La segnalazione iniziale è stata inviata il 25 marzo 2025. Il 11 dicembre 2025, il team di supporto di AnyDesk ha comunicato che il problema era "out of their scope".
Nove mesi dopo quella classificazione, il 13 luglio 2026, ZDI ha proceduto alla pubblicazione 0-day dell'advisory. La finestra temporale totale — dal report alla divulgazione pubblica — supera i 16 mesi, un lasso che supera ampiamente le aspettative standard del settore per la gestione di vulnerabilità segnalate attraverso canali coordinati.
"the vendor's support team communicated that the issue was out of their scope" — ZDI Advisory ZDI-26-400, nota nella timeline
Il CVSS 4.7 assegnato da ZDI classifica la vulnerabilità nel range basso-medio, riflettendo i requisiti di accesso locale e il limite dell'impatto a denial-of-service. Il punteggio non include, però, il fattore temporale della mancata correzione né la disponibilità pubblica dei dettagli tecnici.
Il rischio per gli ambienti enterprise che usano remote desktop
AnyDesk è distribuito in modo massiccio in contesti aziendali, da help desk IT a infrastrutture di supporto tecnico remoto. La combinazione di accesso remoto con registrazione sessioni — la superficie vulnerabile esatta — è una configurazione comune per audit e conformità.
Un attaccante con presenza locale su un endpoint che esegue AnyDesk può interferire con i file di screen recording inducendo un DoS mirato. In scenari di attacco multi-stadio, questa capacità può interrompere la raccolta di evidenze o bloccare il funzionamento del software di supporto in momenti critici.
Il dossier non specifica se la creazione di "arbitrary files" possa essere estesa oltre il denial-of-service dichiarato. L'advisory indica esplicitamente solo DoS come impatto, e ZDI non ha documentato escalation di privilegi o altri effetti.
Perché è importante
La pubblicazione ZDI-26-400 documenta un pattern di "security fatigue" del vendor: la riclassificazione di una segnalazione valida come "out of scope" dopo mesi di inerzia operativa. Questo comportamento espone utenti che non possono mitigare autonomamente una vulnerabilità nota ma non corretta.
La fonte non specifica versioni interessate di AnyDesk, né misure correttive alternative. Il brief non documenta risposte ufficiali di AnyDesk alla pubblicazione 0-day né la presenza di exploit in-the-wild. La natura del bug — locale, con bassi privilegi, limitato al DoS — riduce la criticità immediata ma non la rilevanza sistemica per una categoria di software che gestisce sessioni remote con potenziale accesso a sistemi sensibili.
La tensione tra responsible disclosure e accountability del vendor resta il tema dominante: quando un fornitore di infrastruttura di accesso remoto declina la gestione di una falla segnalata attraverso canali istituzionali, il ricercatore è costretto a una scelta binaria tra divulgazione pubblica e silenzio indefinito.
Domande frequenti
È necessario disinstallare AnyDesk?
Il dossier non documenta misure correttive specifiche né raccomandazioni del vendor. La decisione di mitigazione dipende dalla valutazione del rischio DoS locale nel proprio contesto operativo.
Quali versioni di AnyDesk sono vulnerabili?
L'advisory ZDI-26-400 non elenca versioni specifiche interessate. Il brief riporta come limite che le versioni affette non sono documentate nella fonte primaria.
L'attacco può essere eseguito da remoto?
No. L'advisory specifica che l'attaccante deve ottenere "the ability to execute low-privileged code on the target system". Il vettore è locale.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-400/
- http://www.zerodayinitiative.com/advisories/published/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.