Agente AI trova quattro vulnerabilità critiche in EPICS Base

In meno di quattro ore, un agente AI autonomo ha individuato quattro falle in EPICS Base, tra cui un bug critico con punteggio CVSS 9,8 (CVE-2026-114595) che può consentire a un attaccante remoto di eseguire codice sui sistemi di controllo¹.

EPICS è un toolkit open source, vecchio di decenni e ampiamente usato, che governa sistemi in acceleratori di particelle ed esperimenti di fusione. Le falle riguardano EPICS Base, impiegato per operare alcuni dei più grandi progetti e impianti di ricerca del mondo¹.

La prima vulnerabilità è un integer overflow valutato 9,8 su CVSS v3.1, classificata come critica. L’overflow può produrre una scrittura fuori dai limiti sull’heap controllata dall’attaccante e, potenzialmente, portare a esecuzione remota di codice. È tracciata come CVE-2026-114595¹.

La seconda, CVE-2026-114596, ha severità alta con punteggio 8,2. Deriva da una convalida impropria della lunghezza dei messaggi. Può causare una scrittura di memoria fuori dai limiti e il crash del processo controller.

La terza, CVE-2026-114597, è ad alta severità con punteggio 7,5. Il difetto è un controllo insufficiente dei limiti. Consente letture di memoria fuori dai limiti e può causare l’arresto del processo.

La quarta, CVE-2026-114598, ha punteggio 7,5 ed è una confusione di tipi. Può portare a denial of service e potrebbe esporre contenuti della memoria adiacente.

Tutte e quattro le falle interessano EPICS Base. Le organizzazioni dovrebbero aggiornare alla versione 7.0.11, che include le correzioni¹.

Il quadro emerso dal rapporto è netto. Un agente AI autonomo ha analizzato un toolkit ampiamente distribuito in ambiti scientifici e ha individuato, in una singola sessione di lavoro, quattro problemi distinti: un overflow di intero con potenziale di esecuzione remota di codice, un errore di convalida della lunghezza dei messaggi che può portare a scritture fuori dai limiti e crash, un controllo dei limiti insufficiente con letture oltre il buffer e arresto del processo, una confusione di tipi con esito in denial of service e possibile esposizione di memoria adiacente. I punteggi CVSS, che spaziano da 7,5 a 9,8, collocano tre vulnerabilità in fascia alta di severità e una in fascia critica.

Il contesto d’uso di EPICS chiarisce l’impatto potenziale. Il toolkit governa sistemi che controllano acceleratori di particelle ed esperimenti di fusione, e la sua base è al centro dell’operatività di grandi strutture di ricerca. In questo ambiente, una scrittura fuori dai limiti che precipita in crash del processo o una lettura di memoria non prevista rappresentano condizioni che vanno affrontate con aggiornamenti puntuali. La disponibilità delle correzioni nella release 7.0.11 fissa il perimetro dell’azione richiesta: pianificare e applicare l’update sui sistemi interessati¹.

Il tempo della scoperta resta il dato distintivo: meno di quattro ore per quattro vulnerabilità gravi in un componente chiave. La velocità dell’analisi automatizzata e la presenza delle patch in 7.0.11 mettono al centro un compito concreto per chi gestisce EPICS Base: eseguire l’aggiornamento verso la versione che include le correzioni¹.