CVE-2026-107050: RCE in RetroArch 1.22.2

CVE-2026-107050 è una vulnerabilità di esecuzione arbitraria di codice identificata in libretro RetroArch versione 1.22.2. La falla permette a un attaccante di indurre un altro utente a caricare codice malevolo nel contesto di sicurezza dell'utente vittima, risultando in accesso completo al sistema con i privilegi di quell'account. RetroArch è un emulator frontend ampiamente diffuso in ambienti di ricerca, educazione e ricreativo.

La vulnerabilità è stata valutata con punteggio CVSS 9,8 nel livello critical. Pubblicata ufficialmente il 29 ottobre 2026, al momento non è disponibile una patch ufficiale. I dati pubblici non riportano exploit pubblico; tuttavia, la gravità della falla e l'assenza di correzione rappresentano un rischio immediato per i sistemi interessati. I segnali sui social media confermano l'attenzione della comunità di sicurezza sulla minaccia.

Gli amministratori IT e i responsabili di sicurezza devono implementare mitigazioni immediate: limitare l'accesso a RetroArch negli ambienti critici, implementare controlli di accesso basati su ruolo, educare gli utenti sui rischi di eseguire file da fonti non attendibili. Monitorare i canali ufficiali RetroArch e NVD per la disponibilità di patch di sicurezza. Considerare l'isolamento di sistemi che eseguono RetroArch in ambienti di produzione fino alla disponibilità di un aggiornamento sicuro.

Il meccanismo di attacco sfrutta il caricamento di file da parte dell'utente: l'attaccante, tipicamente attraverso social engineering, induce la vittima a caricare un file attaccante in RetroArch, che viene quindi eseguito con i permessi dell'utente. Questo vettore di attacco, sebbene richieda interazione dell'utente, ha un alto potenziale di successo date le pratiche comuni di sharing file tra utenti di emulatori.