Un exploit pubblico consente l'esecuzione di codice remoto non autenticato su applicazioni ASP.NET AJAX con Telerik UI in configurazioni specifiche. Progress ha rilasciato la patch a luglio 2026 ma la catena di attacco ora è completamente documentata e disponibile.
Un exploit che permette l'esecuzione di codice remoto senza autenticazione su server Microsoft IIS è ora disponibile pubblicamente: la catena di attacco, pubblicata da TantoSec, sfrutta una serie di vulnerabilità in Telerik UI for ASP.NET AJAX e mette a rischio tutte le installazioni non aggiornate e configurate in modo specifico. Il rilascio di uno strumento pronto all'uso e di payload dimostra che la minaccia non è più solo teorica.
Il cuore della catena è un "padding oracle" AES-CBC che, se combinato con una configurazione non predefinita e una chiave di cifratura personalizzata, consente a un attaccante di decifrare e manipolare i dati di upload senza conoscere la chiave. Da qui, la vulnerabilità CVE-2026-13181 permette di specificare un tipo .NET arbitrario che viene deserializzato e caricato dal server, portando all'esecuzione di codice nativo tramite una DLL controllata dall'attaccante.
Come funziona la catena di attacco
La vulnerabilità colpisce il controllo RadAsyncUpload nelle versioni dalla 2010.1.309 fino alla 2026.2.519 di Telerik UI for ASP.NET AJAX. Progress Software ha corretto il problema con la versione 2026.2.708 (2026 Q2 SP1) rilasciata l'8 luglio, ma la pubblicazione di TantoSec del 7 settembre ha reso pubblici sia la metodologia sia gli strumenti per sfruttare la catena.
Non basta però avere una versione vulnerabile: l'applicazione deve esporre una pagina con RadAsyncUpload e utilizzare una chiave di cifratura personalizzata, come raccomandato da Telerik per rafforzare la sicurezza. Paradossalmente, questa impostazione consigliata diventa il punto debole che rende possibile l'attacco.
Il processo di exploit non è immediato: TantoSec ha impiegato circa 127.000 richieste oracle per completare l'attacco in laboratorio, con tempistiche che possono superare l'ora su server con limitazioni di velocità. Se i messaggi di errore dettagliati sono nascosti, l'attaccante può comunque sfruttare le differenze nei tempi di risposta (CVE-2026-13183) per portare a termine l'attacco.
Impatto reale e precedenti storici
Ad oggi non risultano attacchi confermati che sfruttino questa catena di vulnerabilità, né segnalazioni nel catalogo CISA delle vulnerabilità note. Tuttavia, la storia del componente è tutt'altro che rassicurante: la stessa superficie di attacco era già stata sfruttata in passato, come dimostrato dal caso riportato su Zimbra e dagli attacchi ransomware che hanno colpito agenzie federali USA tramite bug precedenti (CVE-2019-18935 e CVE-2017-11317), ancora attivi fino al 2025.
La pubblicazione di exploit pubblici per vulnerabilità RCE non autenticata in componenti web di largo utilizzo rappresenta sempre un rischio concreto, anche in assenza di attacchi noti. Progress, nel suo bollettino di luglio, ha segnalato anche una seconda catena di attacco che coinvolge RadPersistenceManager e RadDockLayout (CVE-2026-13185, -13186, -13190), ma per questa non esistono exploit pubblici.
Mitigazioni e raccomandazioni operative
Progress raccomanda di aggiornare immediatamente a Telerik UI for ASP.NET AJAX 2026.2.708 o versioni successive, che introducono la cifratura autenticata e chiudono l'intera catena di attacco. L'azienda sottolinea che rafforzare la chiave personalizzata non è sufficiente, poiché l'oracolo di padding non richiede la conoscenza della chiave per essere sfruttato.
Per chi non può aggiornare subito, sono suggerite alcune misure temporanee: impostare customErrors su RemoteOnly o On per rallentare l'attacco, disabilitare il gestore di upload se non necessario, oppure rimuovere la chiave personalizzata per tornare alla protezione standard di ASP.NET con AES e HMAC. Progress avverte che l'exploit non lascia tracce evidenti nei log di errore, quindi la difesa deve basarsi su analisi comportamentali: attenzione a processi w3wp.exe che lanciano cmd.exe, file .aspx inattesi nella web root o DLL sospette nelle cartelle temporanee di upload.
Analisi e prospettive
La rapidità con cui la catena di exploit è stata resa pubblica dopo la patch dimostra quanto sia fragile la sicurezza di componenti legacy largamente diffusi e spesso trascurati negli aggiornamenti. La raccomandazione di Progress di usare chiavi personalizzate, oggi rivelatasi un boomerang, evidenzia la difficoltà di bilanciare best practice e rischi emergenti. In un panorama dove la pubblicazione di exploit RCE non autenticati può scatenare ondate di attacchi automatizzati, la sola strategia efficace resta l'aggiornamento tempestivo: chi rimanda, si espone a rischi che la storia di Telerik UI ha già trasformato in realtà.
