Windmill sotto attacco e AgentForger trasforma ChatGPT in un insider

🛡️ Executive Summary

• Una path traversal in Windmill permette di leggere file senza autenticazione e, in alcune configurazioni, ottenere privilegi superadmin ed eseguire codice.
• Certighost sfrutta Active Directory Certificate Services per impersonare un Domain Controller e raggiungere la compromissione completa del dominio.
• AgentForger utilizzava un link ChatGPT per creare, autorizzare e programmare un agente persistente con accesso ai connettori aziendali.

Tre vulnerabilità mostrano quanto le piattaforme di automazione, identità e intelligenza artificiale stiano diventando punti di controllo privilegiati delle infrastrutture aziendali. Windmill è oggetto di tentativi di sfruttamento per una path traversal che consente di leggere file del server senza autenticazione e, in particolari configurazioni, recuperare un segreto amministrativo utilizzabile per eseguire codice. Certighost colpisce invece Active Directory Certificate Services e permette a un normale utente di dominio di ottenere un certificato valido per impersonare un Domain Controller. AgentForger, infine, trasformava un link ChatGPT apparentemente legittimo in uno strumento capace di costruire un agente autonomo con accesso a email, documenti e applicazioni già collegate.

Windmill espone file e segreti senza autenticazione

La vulnerabilità CVE-2026-29059, classificata con gravità alta, interessa l’endpoint get_log_file di Windmill, piattaforma open source utilizzata per creare workflow, job, script e automazioni aziendali. Il parametro contenente il nome del file veniva concatenato direttamente al percorso locale senza una corretta sanitizzazione, consentendo a un attaccante remoto di utilizzare sequenze ../ e uscire dalla directory prevista. La falla permette quindi di leggere file arbitrari accessibili al processo del server, compresi /etc/passwd, configurazioni, variabili d’ambiente e credenziali eventualmente conservate nel container. L’attività osservata in rete mostra richieste indirizzate sia agli endpoint Windmill esposti direttamente sia ai percorsi utilizzati attraverso il proxy di Nextcloud Flow, con circa 170 sistemi vulnerabili identificati in 24 Paesi. L’impatto più grave emerge quando l’installazione utilizza la variabile SUPERADMIN_SECRET: il segreto può essere estratto da /proc/1/environ, inserito come Bearer token e utilizzato per autenticarsi come superadmin, ottenendo la possibilità di eseguire codice attraverso la funzione di anteprima dei job. Il valore non viene configurato per impostazione predefinita nelle normali installazioni standalone, ma risulta utilizzato nelle integrazioni embedded e in particolare in Nextcloud Flow, dove credenziali amministrative possono trovarsi anche in un file prevedibile. Senza quel segreto, la vulnerabilità resta una lettura arbitraria di file, comunque sufficiente a esporre token cloud, password database, chiavi API e informazioni utili per nuovi attacchi. Windmill ha corretto il difetto nella versione 1.603.3 introducendo controlli sul nome del file, mentre le istanze cloud ed enterprise risultano già migrate. Gli amministratori self-hosted devono aggiornare e verificare i log, perché la patch non annulla eventuali segreti già sottratti. La dinamica richiama le vulnerabilità in Langflow e nelle piattaforme AI esposte direttamente su internet, dove un endpoint apparentemente secondario può diventare il percorso verso credenziali e infrastruttura sottostante.

Certighost impersona un Domain Controller attraverso AD CS

CVE-2026-54121, denominata Certighost, riguarda un comportamento di Active Directory Certificate Services utilizzato durante la risoluzione degli oggetti di directory. In particolari scenari di enrollment, la Certification Authority può effettuare una ricerca aggiuntiva, chiamata chase, verso un host indicato negli attributi cdc e rmd della richiesta. Prima dell’aggiornamento di luglio, un utente autorizzato a richiedere un certificato poteva specificare liberamente il server al quale la CA avrebbe dovuto rivolgersi, senza che quest’ultima verificasse che l’host fosse realmente un Domain Controller appartenente alla directory. L’attaccante poteva quindi creare un computer account sfruttando il valore predefinito di ms-DS-MachineAccountQuota, avviare servizi LDAP e LSA controllati e convincere la CA a utilizzare dati di identità falsificati durante l’emissione del certificato. Restituendo objectSid e dNSHostName appartenenti a un Domain Controller reale, il server ostile induceva AD CS a produrre un certificato firmato con attributi associati alla macchina privilegiata.

Il certificato poteva essere successivamente presentato tramite PKINIT per ottenere credenziali Kerberos del Domain Controller e utilizzare i diritti di replica per eseguire DCSync, recuperando hash e segreti del dominio, compreso quello dell’account krbtgt. La vulnerabilità richiede un utente di dominio con bassi privilegi e una configurazione AD CS compatibile, ma non richiede interazione da parte di un amministratore e può produrre una compromissione totale. Microsoft assegna alla falla un punteggio CVSS 8,8 e l’ha corretta con gli aggiornamenti di luglio 2026. Il nuovo codice verifica che l’host indicato dall’attributo cdc corrisponda a un vero oggetto Domain Controller, rifiuta indirizzi IP e caratteri pericolosi nelle query LDAP e confronta il SID risolto con quello previsto.

Gli ambienti con una Certification Authority enterprise devono installare gli aggiornamenti, verificare i template disponibili agli utenti ordinari e controllare richieste contenenti attributi cdc o rmd anomali. Certighost conferma che Active Directory e i servizi di certificazione rappresentano una superficie privilegiata per l’escalation, perché un certificato legittimamente firmato può risultare più potente della password sottratta a un amministratore.

AgentForger costruiva un agente ChatGPT da un link

AgentForger colpiva il Builder dei Workspace Agents di ChatGPT, ambiente attraverso il quale le organizzazioni possono creare agenti collegati a Outlook, Gmail, Slack, Teams, Google Drive e SharePoint. Il Builder accettava parametri URL come template_name e initial_assistant_prompt; quest’ultimo non veniva semplicemente mostrato nel campo di testo, ma inviato ed eseguito automaticamente al caricamento della pagina. Un attaccante poteva quindi inviare alla vittima un collegamento autentico verso chatgpt.com, incorporando nel parametro istruzioni destinate a creare e pubblicare un agente malevolo.

Quando un utente già autenticato e dotato di Workspace Agents apriva il link, il Builder interpretava il prompt come una sequenza di attività: selezionava un modello di agente, collegava i connector già autorizzati, modificava le policy di approvazione, configurava attività pianificate e pubblicava il sistema. Nessun nuovo consenso OAuth era necessario perché Gmail, Outlook, Slack o gli altri servizi risultavano già collegati durante l’uso precedente.

Nella dimostrazione, il prompt impostava le azioni sensibili su “Never ask”, creava più pianificazioni sfalsate per simulare un’esecuzione ogni cinque minuti e ordinava all’agente di cercare email dell’attaccante con oggetto TASK, eseguire le istruzioni contenute e inviare i risultati all’esterno. Anche la modalità Preview produceva azioni reali invece di limitarsi a mostrare una simulazione, permettendo alla catena di partire immediatamente. Dopo la pubblicazione, l’attaccante non aveva più bisogno che la vittima aprisse altri link: poteva inviare nuovi comandi attraverso la posta e utilizzare l’agente come un operatore persistente all’interno dell’organizzazione.

La vulnerabilità rappresenta una forma evoluta di Cross-Site Request Forgery, perché non forza una singola richiesta autenticata ma crea un intero sistema autonomo dotato di strumenti, connettori, pianificazione ed esfiltrazione. OpenAI ha corretto il problema quattro giorni dopo la segnalazione. Il caso sviluppa il rischio già osservato con la prompt injection indiretta proveniente da repository e contenuti esterni, aggiungendo però una nuova dimensione: l’input ostile può modificare anche i controlli che dovrebbero limitarne l’esecuzione.

Agenti e automazioni amplificano ogni errore di autorizzazione

Windmill, Certighost e AgentForger condividono un elemento fondamentale: un dato controllato dall’attaccante raggiunge una decisione privilegiata senza una verifica sufficiente del contesto. Windmill utilizza un nome di file esterno per costruire un percorso locale; AD CS accetta un host indicato dal richiedente come fonte autorevole di identità; ChatGPT interpreta un parametro URL come istruzione autorizzata a creare un agente. In tutti e tre i casi, il componente vulnerabile esegue una funzione prevista dal prodotto, ma lo fa affidandosi a una premessa falsa. Le difese devono quindi operare oltre la sola installazione delle patch. Le istanze Windmill devono essere rimosse dall’esposizione pubblica quando non necessaria, eseguite con privilegi minimi e separate dalle credenziali cloud più sensibili. Active Directory Certificate Services richiede auditing dei template, controllo delle richieste e monitoraggio delle autenticazioni certificate dei computer account. Gli agenti AI devono invece impedire che input esterni modifichino policy di approvazione, connettori e pianificazioni senza una conferma umana distinta e non delegabile al modello. La sicurezza degli agenti AI compromessi attraverso file, memoria e strumenti dipende dalla separazione tra istruzione, autorizzazione ed esecuzione: quando i tre passaggi vengono affidati allo stesso sistema, una singola vulnerabilità può trasformare un’automazione legittima in un amministratore, un Domain Controller o un insider persistente.