Tre vulnerabilità zero-day in ViewSonic vCast permettono a chiunque sia sulla stessa rete di spiare gli schermi delle ViewBoard e installare app Android dannose. Nessuna patch disponibile, rischio elevato per scuole e aziende.
Basta essere sulla stessa rete per entrare nelle ViewBoard ViewSonic. Tre falle zero-day nel software vCast lo rendono possibile. Il rischio è concreto per scuole, aziende e chiunque usi questi dispositivi.
Il 24 settembre CERT/CC ha pubblicato i dettagli. Un attaccante può vedere in diretta lo schermo delle lavagne digitali, installare app Android da qualsiasi fonte e inviare comandi senza autenticazione. Tutto questo sfruttando semplici endpoint API esposti sulla rete locale.
Come funzionano gli attacchi e quali sono i rischi
Le tre vulnerabilità sono CVE-2026-82989, CVE-2026-82988 e CVE-2026-82987. Usate insieme, danno il pieno controllo del dispositivo. La prima permette di spiare lo schermo tramite API non protette. La seconda forza il download e l'installazione di qualsiasi app Android tramite un URL malevolo. La terza consente l'invio di comandi da utenti non autenticati. Insieme, queste falle permettono di installare malware persistente, accedere a dati sensibili, eseguire codice arbitrario e usare la ViewBoard come punto di partenza per muoversi nella rete aziendale o scolastica.
Non è solo teoria. La combinazione delle vulnerabilità trasforma ogni ViewBoard in una porta d'ingresso per attacchi mirati. Il danno va oltre la semplice violazione della privacy. Le ViewBoard, spesso con hardware ARM multicore e Wi-Fi 6 o superiore, sono pensate per la collaborazione. Ma senza segmentazione di rete, chiunque sia sulla stessa LAN può accedervi facilmente. Le linee guida dell'Agenzia per la Cybersicurezza Nazionale sono chiare: segmentazione e monitoraggio continuo sono essenziali per ridurre i rischi di lateral movement e compromissione di dispositivi IoT e smartboard.
CERT/CC raccomanda di isolare immediatamente le ViewBoard su segmenti di rete separati e monitorare costantemente il traffico, in attesa di una patch ufficiale da parte di ViewSonic.
Assenza di patch e raccomandazioni di emergenza
ViewSonic non ha ancora rilasciato una correzione. CERT/CC consiglia di isolare subito le ViewBoard su segmenti di rete separati e di monitorare il traffico per scoprire attività sospette. Senza una patch ufficiale, la difesa dipende solo dalla capacità delle organizzazioni di limitare l'accesso di rete e reagire in fretta a segnali di compromissione.
Le vulnerabilità zero-day non sono una novità. Recenti attacchi hanno colpito anche infrastrutture di sicurezza di alto livello. La velocità di risposta resta spesso l'unica vera difesa.
Impatto su scuole e aziende italiane
Le ViewBoard sono diffuse in scuole e aziende. Qui la sicurezza delle informazioni è fondamentale. Se un attaccante installa app malevole o spia le attività in aula o in riunione, la minaccia è reale. Il rischio cresce se mancano strumenti di difesa automatica o aggiornamenti rapidi.
Questa situazione mostra una debolezza di fondo. Dispositivi pensati per la didattica e la collaborazione possono diventare vettori di attacco se la sicurezza software viene trascurata. La superficie d'attacco cresce con la digitalizzazione. Se i produttori non rispondono in fretta, utenti e organizzazioni restano esposti a tempo indefinito. Il Garante Privacy lo ribadisce: la protezione dei dati personali in scuole e aziende passa anche dalla valutazione dei rischi dei dispositivi connessi e dall'applicazione tempestiva degli aggiornamenti di sicurezza.
La gravità delle falle su ViewSonic vCast è evidente. Senza patch, ogni ViewBoard su una rete condivisa è un bersaglio facile. Le organizzazioni devono isolare e monitorare subito questi dispositivi. Ma la responsabilità finale è di chi li sviluppa e li distribuisce. La sicurezza non è un optional. Soprattutto quando questi strumenti entrano ogni giorno in scuole e aziende italiane.
