AnyDesk presenta una falla zero-day che permette un attacco di denial-of-service da sistema locale

Attenzione immediata: Se utilizzi AnyDesk per la gestione remota o il supporto tecnico, è fondamentale agire subito. Una nuova vulnerabilità critica, classificata come zero-day, è stata scoperta nel software e permette ad un attaccante con accesso locale di bloccare completamente il sistema, causando un denial-of-service (DoS). Anche se non è possibile sfruttare questa falla da remoto senza un accesso preliminare al sistema, il rischio per la disponibilità dei servizi è reale e significativo. La soluzione immediata consiste nel limitare l’accesso locale agli endpoint che esegue AnyDesk e, se possibile, disabilitare temporaneamente la funzione ‘Send Support Information’ fino all’arrivo di un aggiornamento ufficiale, poiché attualmente non esiste un patch di sicurezza da parte del produttore.

Questa vulnerabilità, identificata con l’identificativo CVE-2026-15682, è stata pubblicata ufficialmente dal Zero Day Initiative (ZDI) di Trend Micro il 8 luglio 2026. La falla ha un punteggio di severità CVSS v3 di 4.7, che la colloca nella categoria di severità media, ma le sue implicazioni per la continuità operativa in ambienti aziendali sono elevate. Il problema non consente l’accesso diretto a dati riservati o l’esecuzione di codice arbitrario in senso tradizionale, ma colpisce direttamente la disponibilità del sistema, un aspetto critico per chi utilizza AnyDesk per la manutenzione di dispositivi, la gestione di help desk o operazioni di amministratore remoto.

Come funziona l’attacco e chi è a rischio

La vulnerabilità colpisce tutte le installazioni di AnyDesk che non sono ancora aggiornate con una correzione specifica (che al momento non è disponibile). Per sfruttare questa falla, un attaccante deve già avere la capacità di eseguire codice come utente con privilegi bassi sul sistema Windows target. Questo significa che l’attacco non è “remoto” nel senso classico di un hacker che si connette da casa senza entrare prima nel sistema; richiede invece un punto di ingresso locale, come un utente malintenzionato che ha accesso fisico al computer o un malware che ha già ottenuto un accesso limitato.

Il cuore del problema risiede nella funzionalità “Send Support Information” (Invia informazioni di supporto). Questa funzione è progettata per raccogliere dati diagnostici e aiutare gli utenti a inviare informazioni pertinenti al team di supporto di AnyDesk durante le sessioni di troubleshooting. Tuttavia, il meccanismo di scrittura dei file in questa funzione non valida correttamente la destinazione finale quando interagisce con particolari strutture del filesystem.

Un attaccante con privilegi bassi può creare un junction del filesystem (un punto di reparse che reindirizza l’accesso da una directory a un altro percorso). Se il servizio di AnyDesk, che opera con privilegi elevati, segue questo junction senza validare sufficientemente la destinazione, l’attaccante può forzare il servizio a creare file arbitrari in luoghi non previsti. Questa capacità di creazione di file arbitrari può essere sfruttata per sovrascrivere file critici, occupare spazio su disco in modo massiccio o creare condizioni che bloccano il servizio, portando infine a un denial-of-service che impedisce l’uso di AnyDesk e, in alcuni casi, può destabilizzare il sistema operativo stesso.

Implicazioni per la sicurezza aziendale

La mancanza di un patch ufficiale rende questa situazione particolarmente delicata per le organizzazioni. Il processo di segnalazione della vulnerabilità ha richiesto più di un anno. Il ricercatore Giuliano Sanfins (noto come 0x_alibabas) di SiDi ha segnalato il problema ad AnyDesk tramite ZDI il 31 marzo 2025. Nonostante le richieste di follow-up, AnyDesk non ha fornito una risposta sostanziale per mesi. L’azienda ha inizialmente riconosciuto l’escalation al team di sicurezza in settembre 2025, ma ha dichiarato in dicembre che il problema era “fuori dalla sua portata”. Solo il 26 giugno 2026, ZDI ha informato il vendor dell’intenzione di pubblicare l’avviso come vulnerabilità zero-day, dato che non era disponibile alcuna correzione.

Le conseguenze di questo attacco sono particolarmente gravi in ambienti dove AnyDesk è utilizzato per la gestione remota di dispositivi o per operazioni di help desk. Un blocco del sistema può interrompere il flusso di lavoro, impedire l’accesso a server critici e causare perdite economiche significative. Inoltre, la complessità dell’attacco è classificata come alta, indicando che l’attaccante deve soddisfare condizioni specifiche relative all’ambiente o al filesystem per riuscire nell’operazione. Tuttavia, una volta ottenuto il punto di appoggio per l’esecuzione di codice locale, non è richiesta alcuna interazione dell’utente, rendendo l’attacco silenzioso e automatico.

Misure di mitigazione consigliate

Poiché non esiste un patch ufficiale, le organizzazioni devono adottare misure di mitigazione proattive per proteggere i loro sistemi. Le raccomandazioni principali includono:

Limitare l’accesso locale: È fondamentale restringere l’accesso fisico e logico agli endpoint che eseguono AnyDesk. Solo gli utenti autorizzati dovrebbero poter accedere ai dispositivi.
Applicare il principio del privilegio minimo: Enforce rigorosi controlli sui privilegi degli utenti. Gli utenti non dovrebbero avere la capacità di eseguire codice o creare junction del filesystem senza una giustificazione operativa chiara.
Monitorare le attività del filesystem: Implementare sistemi di monitoraggio per rilevare la creazione insolita di junction o punti di reparse, che potrebbero indicare un tentativo di sfruttamento della vulnerabilità.
Disabilitare la funzione di supporto: Se la funzionalità “Send Support Information” non è strettamente necessaria per le operazioni quotidiane, è consigliabile disabilitarla per ridurre la superficie di attacco.
Valutare l’uso di AnyDesk: In ambienti sensibili, le organizzazioni dovrebbero valutare se l’uso di AnyDesk è ancora appropriato o se è necessario passare a soluzioni alternative che non presentino vulnerabilità zero-day simili.

Technical Deep Dive

Per i tecnici e gli esperti di sicurezza interessati ai dettagli specifici dell’implementazione della vulnerabilità, ecco un’analisi approfondita dei meccanismi tecnici coinvolti.

La vulnerabilità CVE-2026-15682 è tracciata negli avvisi ZDI come ZDI-26-401 e ZDI-CAN-26645. Il vector CVSS completo è CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H.

AV:L (Attack Vector: Local): L’attacco richiede che l’attaccante sia localmente presente sul sistema o abbia la capacità di eseguire codice locale. Non è un attacco remoto diretto.
AC:H (Attack Complexity: High): L’attacco richiede condizioni specifiche, come la creazione di un junction del filesystem valido e la presenza di directory target appropriati. Non è un exploit “a colpo sicuro” in tutti gli ambienti.
PR:L (Privileges Required: Low): L’attaccante deve avere solo privilegi bassi (utente standard) per iniziare l’attacco.
UI:N (User Interaction: None): Una volta che il codice è eseguito, non è richiesta alcuna interazione dell’utente per completare l’attacco.
S:U (Scope: Unchanged): La vulnerabilità non cambia il scope dei privilegi del sistema; l’attacco rimane nel contesto del sistema vulnerabile.
C:N, I:N (Confidentiality/Integrity: None): La vulnerabilità non porta direttamente alla divulgazione di informazioni riservate o alla modifica di dati (integrità). L’obiettivo è l’interruzione del servizio.
A:H (Availability: High): L’impatto principale è sulla disponibilità del sistema, con un rischio elevato di denial-of-service.

Il meccanismo di sfruttamento si basa sull’uso di junctions del filesystem Windows, che sono punti di reparse che reindirizzano l’accesso da una directory a un altro percorso. In Windows, quando un processo con privilegi elevati (come il servizio di AnyDesk) segue un percorso che contiene un junction controllato dall’utente, il sistema operativo può reindirizzare le operazioni di file in una destinazione non prevista se l’applicazione non valida correttamente la destinazione finale.

In questo caso specifico, il servizio di AnyDesk, quando esegue la funzione “Send Support Information”, tenta di scrivere file diagnostici in una directory specifica. Se un attaccante crea un junction nella directory target che reindirizza a un percorso arbitrario (ad esempio, una directory di sistema critica o un percorso con spazio su disco limitato), il servizio segue il junction e scrive i file in quel percorso. Questo comportamento può essere sfruttato per:

Creazione di file arbitrari: L’attaccante può forzare il servizio a creare file in percorsi non autorizzati.
Sovrascrittura di file critici: In alcuni scenari, se il percorso reindirizzato contiene file esistenti, il servizio potrebbe sovrascrivere questi file, causando errori di sistema.
Occupazione di spazio su disco: Creando un numero elevato di file in un percorso con spazio limitato, l’attaccante può esaurire lo spazio su disco, portando a un blocco del sistema.
Denial-of-Service: L’accumulo di errori o l’esaurimento delle risorse può causare il blocco del servizio di AnyDesk o, in casi estremi, il riavvio del sistema operativo.

ZDI non ha ancora divulgato dettagli tecnici ulteriori, codice proof-of-concept (PoC) o target di file specifici, probabilmente per limitare il rischio di sfruttamento immediato. Tuttavia, la natura della vulnerabilità è chiara: è un problema di validazione dell’input e gestione dei percorsi nel modulo di supporto di AnyDesk.

Per i tecnici, la raccomandazione è di monitorare i log del sistema per eventi di scrittura di file insoliti, specialmente quelli relativi al servizio di AnyDesk, e di implementare regole di sicurezza che limitano la creazione di junction da utenti con privilegi bassi. Inoltre, è consigliabile verificare se le directory di supporto di AnyDesk sono configurate correttamente e se non sono reindirizzate a percorsi di sistema critici.

In sintesi, mentre la severità CVSS è media, l’impatto sulla disponibilità del sistema rende questa vulnerabilità un rischio significativo per le organizzazioni che dipendono da AnyDesk per le operazioni critiche. La mancanza di un patch e la lunga attesa per la risposta del vendor sottolineano l’importanza di adottare misure di mitigazione proattive e di valutare soluzioni alternative per la gestione remota.

Fonte: https://gbhackers.com/anydesk-zero-day-flaw/