CVE-2026-74849: GINA command injection su ADSelfService Plus

Una vulnerabilità con punteggio CVSS 9.8 non lascia molto spazio all’interpretazione: è critica, va gestita subito e va capita bene. CVE-2026-74849 colpisce il GINA client di ManageEngine ADSelfService Plus e permette a un attaccante non autenticato di eseguire comandi arbitrari con privilegi di sistema, direttamente dalla schermata di login di Windows. In questo articolo vediamo cosa significa in pratica, perché è così pericolosa e cosa deve fare subito un team di sicurezza per proteggersi.

Cos’è CVE-2026-74849 e perché preoccupa

CVE-2026-74849 è una vulnerabilità di OS command injection (classificata come CWE-78) individuata nel GINA client integrato in ManageEngine ADSelfService Plus. Il problema riguarda tutte le build 7000 e precedenti del prodotto.

Il dato più allarmante è che lo sfruttamento avviene in fase di pre-autenticazione. Questo significa che un attaccante non ha bisogno di credenziali valide, non deve compromettere un account esistente e non richiede alcuna interazione da parte di un utente già loggato. Basta raggiungere la schermata di login di Windows per tentare l’attacco.

Il risultato, se l’exploit va a segno, è l’esecuzione di comandi arbitrari con privilegi NT AUTHORITY\SYSTEM, il livello di accesso più alto disponibile su un sistema Windows.

La scoperta della vulnerabilità

La falla è stata individuata e segnalata attraverso il programma Zoho BugBounty dai ricercatori Marouane Belabbassi e Amjad E Alhejaili. Questo tipo di disclosure responsabile ha permesso a ManageEngine di rilasciare rapidamente una patch correttiva, evitando che i dettagli tecnici circolassero prima che fosse disponibile una soluzione.

Perché il GINA client è una superficie d’attacco così critica

Per capire la gravità del problema, bisogna sapere cosa fa il GINA client. Si tratta di un componente che estende la schermata di login di Windows aggiungendo funzionalità self-service, come il reset della password o lo sblocco dell’account, ancora prima che l’utente abbia effettuato l’accesso.

Queste funzionalità “kiosk-style” richiedono di:

• Fare il parsing di input inseriti dall’utente
• Renderizzare contenuti web o embed di browser
• Eseguire comandi o chiamate locali al sistema

Se l’input non viene sanificato correttamente, un attaccante può iniettare comandi malevoli proprio in questo contesto. E poiché il tutto avviene prima dell’autenticazione, i normali controlli di accesso vengono completamente aggirati.

Il meccanismo tecnico, in sintesi

Ad alto livello, la vulnerabilità funziona così: dati controllati dall’attaccante finiscono in una chiamata a un comando di sistema senza un’adeguata neutralizzazione. Questo permette l’esecuzione di comandi arbitrari nel contesto del processo GINA, che gira con privilegi di sistema. Il risultato è un’esecuzione di codice remota, senza autenticazione, con i privilegi più alti possibili.

Cosa può fare un attaccante con privilegi SYSTEM

Ottenere l’esecuzione di codice come SYSTEM equivale, in pratica, al controllo totale della macchina. Ecco alcuni scenari concreti:

• Controllo completo dell’endpoint: installazione di malware, backdoor o keylogger, esfiltrazione di dati locali
• Persistenza: creazione di servizi, scheduled task, chiavi di registro o driver kernel malevoli
• Manipolazione delle credenziali: creazione di account con privilegi elevati o modifica dei gruppi di dominio
• Evasione delle difese: disabilitazione di antivirus ed EDR, cancellazione o alterazione dei log
• Movimento laterale: l’endpoint compromesso diventa un trampolino per attaccare il resto della rete

È facile capire perché questo tipo di vulnerabilità in un componente pre-auth rappresenti uno dei rischi più seri nel panorama della sicurezza aziendale.

Cronologia del fix e versioni interessate

ManageEngine ha risposto rapidamente alla segnalazione. Ecco i punti chiave della timeline:

• Versioni vulnerabili: build 7000 e tutte le precedenti
• Patch disponibile: build 7001, rilasciata il 24 agosto 2026

La raccomandazione operativa è semplice: se non sei sicuro della versione in uso, considera il sistema come esposto fino a prova contraria. Aggiornare a 7001 o superiore deve diventare una priorità assoluta.

Cosa fare subito: azioni operative per i team di sicurezza

Di fronte a una vulnerabilità di questo tipo, servono azioni rapide e concrete. Ecco un percorso operativo in quattro fasi.

1. Inventario e identificazione

• Mappa tutti gli endpoint con ManageEngine ADSelfService Plus installato
• Verifica se il GINA client è attivo
• Usa strumenti come SCCM, Intune o altri MDM per lo scan del software
• Dai priorità ai sistemi esposti a reti non fidate o con accesso fisico semplificato, come sale server remote o postazioni hot desk

2. Aggiornamento immediato

Applica la build 7001 (o successiva) il prima possibile. Se necessario testa in staging, ma accelera il deployment sui sistemi più a rischio: qui il tempo conta più della procedura standard.

3. Ricerca di eventuali compromessi (threat hunting)

Anche dopo la patch, è importante verificare se il sistema è già stato compromesso in passato. Alcuni indicatori da controllare:

• Creazione di nuovi servizi o account amministrativi non riconosciuti
• Event ID 4624/4672 (logon e assegnazione privilegi)
• Event ID 7045 (installazione di servizi)
• Event ID 4698/4702 (creazione o modifica di scheduled task)
• Event ID 4688 (creazione di processi) e, se disponibile, i log Sysmon (Event ID 1, 3, 11, 12, 13)
• Esecuzioni sospette di powershell, cmd, wmic o schtasks

4. Contenimento e remediation

Se trovi segni di compromesso, isola immediatamente gli host colpiti, preserva i log per l’analisi forense e avvia le procedure di incident response. Dopo la bonifica, reimposta le credenziali privilegiate sospette e valuta la rotazione di chiavi e certificati.

Mitigazioni temporanee se non puoi aggiornare subito

Non sempre è possibile applicare la patch nell’immediato. In questi casi, alcune misure tampone possono ridurre il rischio:

• Segmentazione di rete: isola i sistemi con GINA attivo in una sottorete protetta
• Firewalling: blocca l’accesso da reti non fidate verso i servizi esposti
• Disabilitazione temporanea della funzionalità GINA/kiosk-style, se il prodotto lo consente
• Sicurezza fisica: rafforza il controllo di accesso alle postazioni con schermate di login pubblicamente raggiungibili
• Logging potenziato: aumenta le regole di detection su IDS, EDR e SIEM

Checklist SOC rapida da distribuire

Ecco una sintesi operativa da condividere subito con il team:

• Inventario completo degli host con ADSelfService Plus e relative build
• Patch immediata di tutti i sistemi con build ≤7000
• Monitoraggio degli Event ID 7045, 4688, 4698/4702, 4624/4672, 4625, Sysmon 1/3
• Regole SIEM/EDR per comandi sospetti (powershell offuscata, wmic, schtasks create)
• Isolamento immediato degli endpoint sospetti, con acquisizione di immagini disco e log
• Rimozione della persistenza e cambio delle credenziali compromesse
• Audit post-remediation delle policy di accesso e dei controlli pre-auth

Conclusione

CVE-2026-74849 rappresenta un caso da manuale del rischio legato a funzionalità esposte prima dell’autenticazione. Un bug di command injection in un componente che gira nella schermata di login, con privilegi SYSTEM e senza bisogno di credenziali, è tra gli scenari più critici che un team di sicurezza possa affrontare.

Se la tua organizzazione utilizza ManageEngine ADSelfService Plus, il percorso da seguire è chiaro: fai subito l’inventario delle versioni installate, aggiorna a build 7001 o superiore, e avvia un’attività di hunting per verificare che non ci siano già stati abusi. La rapidità con cui i ricercatori hanno segnalato la falla attraverso il programma Zoho BugBounty ha permesso un fix tempestivo, ma ora tocca alle organizzazioni applicarlo prima che qualcuno tenti di sfruttarlo.