Quando lo strumento di assistenza diventa il problema
Cosa succede se il software che usi per assistere i clienti da remoto si blocca da solo? È lo scenario aperto da CVE-2026-15682, uno zero-day che colpisce AnyDesk su Windows. Il difetto non serve a rubare dati né a prendere il controllo della macchina. Serve a mandare in tilt il programma: una negazione di servizio, in gergo. Il client smette di funzionare e l'accesso remoto salta.
Come funziona
Il problema è nella funzione che invia le informazioni di supporto, quella che raccoglie i dati diagnostici da mandare all'assistenza. Un utente locale con privilegi bassi può creare una «junction», cioè un collegamento speciale del file system di Windows che dirotta le operazioni sui file verso un'altra cartella. AnyDesk viene così indotto a scrivere file fuori dal percorso previsto, e il risultato è il crash. Serve però già un piede sulla macchina: l'attaccante deve poter eseguire codice in locale, anche senza permessi da amministratore. Per questo il punteggio CVSS resta medio, intorno a 4,7.
Il punto scomodo: niente patch
La falla è stata segnalata al produttore tramite la Zero Day Initiative. La risposta di AnyDesk è stata che il caso è «fuori ambito», e a quel punto la ZDI ha pubblicato i dettagli senza una correzione disponibile. Tradotto: la vulnerabilità è pubblica, la versione 9.0.4 per Windows è tra quelle citate e al momento non esiste un aggiornamento che la chiuda.
Cosa cambia per le aziende
Chi usa AnyDesk per l'assistenza interna o verso i clienti dipende da quel canale proprio nei momenti peggiori: un incidente in corso, un server irraggiungibile, un utente bloccato. Se il client va giù su richiesta di qualcuno che ha già accesso locale alla macchina, il supporto sparisce quando serve di più. Le indicazioni pratiche nel frattempo sono poche ma sensate: limitare chi può eseguire programmi sulle macchine con AnyDesk, tenere d'occhio la creazione anomala di junction e reparse point, e seguire gli avvisi ufficiali per installare la patch appena esce.
💬 Il mio commento
La cosa che mi fa storcere il naso non è il bug in sé — un denial of service locale con CVSS intorno a 4,7 non è la fine del mondo — ma la risposta del produttore: «fuori ambito». Capisco che un vendor debba tracciare un confine tra ciò che considera una vulnerabilità e ciò che non lo è. Quando però quel confine lascia fuori un crash che un utente locale può innescare su uno strumento usato in produzione da mezzo mondo, secondo me è tracciato nel punto sbagliato, e chi lo usa resta con il cerino in mano.
Nelle realtà che seguo AnyDesk e strumenti simili sono dappertutto: installati anni fa, mai più aggiornati, a volte senza che l'IT sappia su quante macchine girano. Il consiglio che do più spesso non riguarda questo CVE nello specifico, ma vale anche qui: sapere cosa hai. Un elenco aggiornato degli strumenti di accesso remoto, con versioni e responsabili, e un piano B per l'assistenza se quel canale si blocca. Il rischio concreto stavolta è contenuto, serve già un accesso locale alla macchina, però è un buon promemoria che affidare tutto l'incident response a un solo programma è fragile, soprattutto quando il fornitore ti dice che il problema non lo riguarda. Se usi AnyDesk in azienda e vuoi valutare quanto sei esposto a questo zero-day e come tenere in piedi l'assistenza remota finché non esce una patch, scrivimi e lo vediamo insieme.