CVE-2026-123014 su iTerm2: injection tramite URL handler

Il CVE-2026-123014 è una vulnerabilità di argument injection nel gestore x-man-page: URL di iTerm2, il popolare terminale per macOS. Un attacker può indurre un utente a aprire un URL crafted, sfruttando un bypass della sanitization: caratteri NUL percent-encoded sopravvivono alla validazione e diventano whitespace. Questo consente l'iniezione di argomenti extra al comando /usr/bin/man, in particolare l'opzione -P per un pager controllato dall'attacker, permettendo esecuzione di comandi con i privilegi dell'utente.

La vulnerabilità ha CVSS 8,7 (gravità alta). È stata segnalata al NVD il 5 novembre 2026. Dal 7 novembre compaiono PoC pubblici su repository GitHub: un chiaro segnale che dettagli tecnici sono già accessibili e il rischio di sfruttamento attivo è concreto. Questa è una riapertura di CVE-2023-46321, una precedente falla non corretta completamente. Non ci sono ancora segnalazioni di exploit in natura, ma la combinazione di PoC pubblico, assenza di patch stabile e falla in un prodotto popolare crea una finestra di vulnerabilità significativa.

Per i difensori: 1) aggiornare iTerm2 non appena la versione 3.7.7 stabile sarà disponibile; nel frattempo 3.7.7beta2 è usabile; 2) limitare click su URL x-man-page: se il flusso operativo lo consente; 3) educare utenti a evitare URL sospetti da fonti non attendibili; 4) monitorare log di sistema per esecuzioni anomale di man con opzioni -P. Per i CISO: quantificare adozione di iTerm2 in team di sviluppo e IT, coordinare piano di patch con urgenza data gravità CVSS 8,7 e PoC pubblico.