Avviso CISA: Vulnerabilità di injection di comandi del sistema operativo in ZoneMinder (CVE-2026-76060)

CISA ha rilasciato un avviso di cybersecurity il 25 agosto 2026, che descrive una vulnerabilità ad alta gravità (CVE-2026-76060) in ZoneMinder, un software open-source di videosorveglianza. La vulnerabilità è un'iniezione di comandi del sistema operativo autenticata nella funzionalità di esportazione degli eventi, dove il parametro HTTP 'exportFile' viene passato non sanificato in un comando shell eseguito tramite exec() di PHP. Un utente autenticato con il permesso 'View Events' può eseguire comandi arbitrari del sistema operativo sul server, portando potenzialmente alla piena esecuzione remota di codice come utente del server web. Le versioni interessate sono ZoneMinder 1.37.48 e 1.38.3. Il punteggio base CVSS è 8.8 (Alto) secondo CVSS v3.1 e 8.7 secondo v4.0. CISA ha scoperto una proof-of-concept pubblica scritta da 'Scriptkittens' e l'ha segnalata a ZoneMinder. Il fornitore consiglia di aggiornare alla versione 1.38.3 o successiva. Nessuno sfruttamento pubblico noto è stato segnalato a CISA al momento. CISA consiglia agli utenti di ridurre al minimo l'esposizione di rete, utilizzare firewall e applicare le patch del fornitore.