libavcodec

FFmpeg finisce di nuovo sotto i riflettori della sicurezza informatica, e stavolta il motivo ha un nome che fa quasi tenerezza ma nasconde un rischio concreto: PixelSmash. Si tratta di una vulnerabilità ad alta gravità, catalogata come CVE-2026-8461, che colpisce uno dei framework open source più usati al mondo per gestire audio e video. Il guaio è che FFmpeg non vive da solo dentro un singolo programma, ma è incorporato in centinaia di applicazioni, e quando una libreria così diffusa ha una falla, il problema si propaga ovunque. Il difetto riguarda nello specifico il decoder MagicYUV presente in libavcodec, e gli scenari aperti vanno dal semplice blocco delle applicazioni fino all’esecuzione di codice arbitrario. Le versioni interessate sono tutte quelle precedenti alla release 8.1.2, con un punteggio CVSS che tocca quota 8.8. Niente di rassicurante, insomma. Come funziona davvero PixelSmash Il codec MagicYUV serve a offrire compressione lossless ad alte prestazioni, ed è usato soprattutto in ambito professionale per montaggio e post produzione. L’errore, però, si annida nel modo in cui vengono gestite le slice video, cioè quelle porzioni indipendenti di un frame che il decoder elabora separatamente. In pratica c’è una discrepanza tra come viene calcolata la dimensione dei piani cromatici dell’immagine. Il meccanismo che alloca la memoria e quello che decodifica usano parametri diversi, e il risultato è una scrittura oltre i limiti del buffer. Quando FFmpeg si trova a elaborare un file AVI, MKV o MOV costruito apposta, il decoder può finire per sovrascrivere zone di memoria adiacenti. Cosa succeda poi dipende dall’ambiente, dalla disposizione della memoria e dalle protezioni attive sul sistema. La parte interessante è che il problema non resta confinato a FFmpeg. Tantissime applicazioni non usano il framework completo ma integrano direttamente la libreria libavcodec, e di conseguenza ereditano il difetto in automatico. Tra i progetti coinvolti spuntano nomi noti come Jellyfin, Kodi, Emby, Nextcloud, PhotoPrism e OBS Studio. Anche i generatori di miniature degli ambienti desktop Linux, quelli di GNOME, KDE e XFCE, risultano potenzialmente esposti. Spesso basta che il software analizzi un contenuto per estrarne i metadati o creare un’anteprima perché scatti l’esecuzione di codice dannoso, anche da remoto. Dal file video all’attacco remoto La dimostrazione più concreta è arrivata proprio contro Jellyfin. Immaginiamo un file AVI malevolo che a un certo punto compare in una cartella monitorata dal server. L’applicazione richiama ffprobe per analizzarlo, e l’overflow entra in scena durante l’elaborazione. Da lì si arriva a deviare il puntatore verso la funzione system(), ottenendo l’esecuzione di comandi con i privilegi del servizio. C’è però un limite che frena le cose. La sola CVE-2026-8461 non aggira la protezione ASLR, quella tecnologia che mescola la disposizione della memoria per complicare la vita agli attaccanti. Per una vera esecuzione di codice remoto serve che ASLR sia disattivato, oppure che si combini PixelSmash con un’altra falla capace di svelare informazioni sulla memoria. Un candidato indicato è un bug nel decoder FlashSV di FFmpeg, che insieme renderebbe la catena d’attacco molto più affidabile. Quali sono gli scenari più realistici? Gli scenari più realistici riguardano i server multimediali self-hosted. Chi usa Jellyfin per organizzare raccolte video scaricate in automatico potrebbe ritrovarsi esposto senza muovere un dito. Basta distribuire un file con il payload tramite reti peer-to-peer e attendere che la scansione automatica faccia partire il processo. Dove l’esecuzione di codice non è possibile, resta comunque il Denial of Service, con crash dell’applicazione provocato dalla corruzione della memoria. Una curiosità riguarda Plex, che risulta meno esposto perché si appoggia a una build personalizzata di FFmpeg con molti decoder disabilitati e una allowlist ridotta dei formati. Una scelta che limita parecchio la superficie d’attacco. Sul fronte delle correzioni, FFmpeg ha sistemato tutto con la versione 8.1.2, pubblicata il 17 giugno 2026. Jellyfin ha aggiornato la propria distribuzione integrata, PhotoPrism sta valutando una blacklist dei formati pericolosi, mentre Nextcloud ha ricevuto la segnalazione via HackerOne ma ha deciso di non intervenire, trattandosi di una dipendenza esterna. Per gli amministratori la priorità resta aggiornare le librerie, e dove non si può farlo subito conviene limitare l’elaborazione automatica di contenuti non attendibili, spegnere la generazione delle anteprime e controllare che ASLR sia attivo.

libavcodec

FFmpeg, la falla PixelSmash mette a rischio centinaia di app