Trappola nei backup: scoperta la falla che consegna i server agli hacker

Una serie di vulnerabilità critiche scoperte in software enterprise e strumenti scientifici sta attirando l’attenzione della comunità di sicurezza informatica. Le debolezze coinvolgono piattaforme ampiamente utilizzate come Veeam Backup & Replication, il componente grafico DirectX di Microsoft, il software di simulazione OpenFOAM e la libreria scientifica libbiosig. Secondo gli analisti di sicurezza, queste falle possono consentire esecuzione di codice remoto (RCE), escalation di privilegi e fuga di informazioni sensibili, rendendo infrastrutture aziendali e ambienti di ricerca potenziali bersagli per attori malevoli. Il rischio è particolarmente elevato nel caso di Veeam, utilizzato da centinaia di migliaia di organizzazioni per la protezione dei dati e il backup dei sistemi.

Veeam segnala quattro vulnerabilità RCE in Backup & Replication

Il caso più critico riguarda Veeam Backup & Replication (VBR), una delle piattaforme di backup più diffuse nel mondo enterprise. L’azienda ha identificato quattro vulnerabilità critiche che permettono a utenti con privilegi limitati all’interno di un dominio di eseguire codice remoto sui server di backup. Le vulnerabilità sono tracciate come CVE-2026-21666, CVE-2026-21667, CVE-2026-21669 e CVE-2026-21708. Tre di queste consentono a utenti con accesso limitato al dominio di avviare attacchi RCE con una complessità relativamente bassa, mentre la quarta permette a un utente con ruolo Backup Viewer di ottenere esecuzione di codice con i privilegi dell’utente postgres. Queste debolezze possono essere sfruttate per movimento laterale nelle reti aziendali, furto di dati o distruzione dei backup, uno scenario particolarmente pericoloso nelle campagne ransomware.

Server di backup sempre più nel mirino dei ransomware

Secondo Veeam, gruppi criminali come FIN7, Cuba, Akira, Frag e Fog hanno già dimostrato di prendere di mira le infrastrutture di backup per sabotare la capacità delle vittime di ripristinare i sistemi dopo un attacco. Una delle tecniche più utilizzate consiste nel reverse engineering delle patch di sicurezza, che permette agli attaccanti di individuare rapidamente sistemi non aggiornati e sfruttare vulnerabilità appena divulgate. La piattaforma Veeam è utilizzata da oltre 550.000 organizzazioni nel mondo, tra cui il 74% delle Global 2000 e oltre l’80% delle Fortune 500, il che amplifica enormemente l’impatto potenziale delle vulnerabilità.

Patch disponibili per le versioni più recenti di Veeam

Per mitigare il rischio, Veeam ha rilasciato aggiornamenti correttivi nelle versioni 12.3.2.4465 e 13.0.1.2067 del software. L’azienda invita gli amministratori a installare immediatamente le patch e a verificare eventuali anomalie nei sistemi. Tra le vulnerabilità individuate figurano anche problemi legati alla gestione delle credenziali SSH e alla manipolazione di file nei repository di backup, che potrebbero permettere agli attaccanti di accedere a informazioni sensibili o alterare i dati salvati. Gli esperti raccomandano inoltre di isolare i server di backup attraverso segmentazione di rete e monitoraggio continuo, riducendo la possibilità di compromissione in caso di intrusione.

Talos scopre vulnerabilità di escalation privilegi in DirectX

Un’altra debolezza significativa è stata individuata dai ricercatori di Cisco Talos nel componente Microsoft DirectX End-User Runtime. La vulnerabilità, identificata come CVE-2025-68623, consente a un utente con privilegi limitati di ottenere accesso elevato al sistema. Il problema riguarda principalmente sistemi Windows legacy, tra cui Windows XP, Server 2003, Vista, Windows 7 e alcune versioni successive. L’exploit può essere attivato durante l’installazione del runtime DirectX, quando un utente malintenzionato sostituisce file eseguibili per ottenere privilegi amministrativi. Secondo Talos, la vulnerabilità rimane non patchata, il che rende particolarmente vulnerabili le organizzazioni che continuano a utilizzare ambienti Windows obsoleti.

Vulnerabilità RCE scoperta nel software di simulazione OpenFOAM

Talos ha inoltre individuato una vulnerabilità critica nel software open source OpenFOAM, utilizzato in ambito ingegneristico per simulazioni di fluidodinamica computazionale. La falla, registrata come CVE-2025-61982, consente a un attaccante di fornire file di simulazione appositamente modificati che possono attivare l’esecuzione di codice arbitrario sul sistema che elabora i dati. OpenFOAM è utilizzato in numerosi contesti di ricerca e sviluppo, tra cui aerospazio, automotive e ingegneria energetica, il che rende questa vulnerabilità particolarmente sensibile per ambienti industriali e accademici.

Libbiosig esposta a leak di dati e RCE tramite file manipolati

Un ulteriore gruppo di vulnerabilità riguarda libbiosig, una libreria utilizzata per l’elaborazione di segnali biologici in applicazioni mediche e scientifiche. I ricercatori Talos hanno identificato diverse falle, tra cui CVE-2025-64736, che causa un out-of-bounds read durante il parsing di file .abf e può portare alla fuga di informazioni sensibili. Altre vulnerabilità, come CVE-2026-22891 e CVE-2026-20777, permettono di attivare heap-based buffer overflow attraverso file manipolati, con la possibilità di eseguire codice arbitrario sul sistema.

Parsing dei file e supply chain software sotto pressione

Le vulnerabilità scoperte in OpenFOAM e libbiosig evidenziano un problema ricorrente nel software scientifico e industriale: la gestione non sicura del parsing dei file di input. Molte applicazioni accettano file complessi provenienti da fonti esterne, e se questi file non vengono validati correttamente possono diventare un vettore di attacco per exploit RCE o leak di dati.

Perché queste vulnerabilità rappresentano un rischio globale

L’insieme delle vulnerabilità individuate dimostra come il rischio cyber non riguardi solo i sistemi aziendali tradizionali, ma anche software di ricerca, librerie scientifiche e componenti di sistema legacy. Nel caso di Veeam, un attacco riuscito potrebbe compromettere la capacità di un’organizzazione di ripristinare i dati dopo un incidente. Nel caso di DirectX, la persistenza di vulnerabilità in ambienti legacy rappresenta un punto di ingresso per attacchi di escalation privilegi. Gli esperti raccomandano quindi di adottare strategie di vulnerability management proattivo, che includano patch tempestive, audit di sicurezza e segmentazione delle infrastrutture critiche.