PayRange, falla di autorizzazione nell’API: accesso remoto ai dispositivi di pagamento

Il 25 agosto 2026 la CISA ha pubblicato un advisory (ICSA-26-237-04) che descrive una vulnerabilità di autorizzazione mancante nell’API di PayRange. Tracciata come CVE-2026-18965, la falla interessa tutte le versioni del prodotto e consente a un attaccante remoto di accedere a dati sensibili, modificare arbitrariamente i dispositivi e provocare interruzioni di servizio.

Una falla di autorizzazione

La vulnerabilità è classificata con CWE-862, Missing Authorization. Il problema risiede negli endpoint di gestione dell’API: non richiedono una corretta autorizzazione. Di conseguenza, chiunque può ottenere dettagli verbosi su ogni dispositivo presente nella rete PayRange, sia che disponga di un account sia che non ne disponga.

Secondo l’advisory, lo sfruttamento riuscito permette a un attaccante remoto — autenticato o non autenticato — di:

• divulgare informazioni sensibili;
• modificare arbitrariamente un dispositivo causando un denial of service;
• alterare l’immagine visualizzata dal dispositivo stesso.

I punteggi CVSS confermano la gravità. Nella versione 3.1 la vulnerabilità ottiene un punteggio base di 8.8 (HIGH) con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Nella versione 4.0 il punteggio scende leggermente a 8.7 (HIGH) con vettore CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. In entrambi i casi l’attacco è possibile da rete, richiede bassa complessità e nessuna interazione dell’utente. Il vettore indica privilegi bassi (PR:L), ma l’advisory specifica che l’accesso ai dettagli dei dispositivi è possibile anche senza account: il punto critico è l’assenza di controlli di autorizzazione sugli endpoint di gestione.

Prodotti e diffusione

Il vendor è PayRange, con sede negli Stati Uniti. Il prodotto coinvolto è PayRange API, indicato come affetto per tutte le versioni (vers:all/*). Lo stato è known_affected: non esistono versioni patchate al momento della pubblicazione dell’advisory.

La distribuzione interessa Stati Uniti e Canada. Il settore infrastrutturale di riferimento è Commercial Facilities, che comprende impianti commerciali e servizi al pubblico.

Cosa può fare un attaccante

L’impatto potenziale tocca riservatezza, integrità e disponibilità. L’accesso non autorizzato agli endpoint di gestione espone dettagli sensibili dell’intera rete di dispositivi PayRange. Un attaccante può mappare i dispositivi attivi, leggerne le configurazioni e poi intervenire direttamente.

La modifica arbitraria di un dispositivo può causare un denial of service: un pagamento non va a buon fine, un distributore smette di rispondere, un servizio self-service resta bloccato. L’alterazione dell’immagine visualizzata apre anche la strada a messaggi fraudolenti o a contenuti non autorizzati mostrati sullo schermo del dispositivo, con possibili conseguenze per gli utenti finali e per la reputazione dell’esercente.

Al momento della pubblicazione dell’advisory, CISA non ha segnalato alcuno sfruttamento pubblico noto mirato specificamente a CVE-2026-18965. La falla non risulta inserita nel catalogo KEV (Known Exploited Vulnerabilities) della CISA, che raccoglie le vulnerabilità attivamente sfruttate.

Nessuna patch: le contromisure raccomandate

L’advisory non menziona una correzione software. Chi utilizza PayRange API deve quindi adottare misure difensive per ridurre il rischio. CISA raccomanda di:

• minimizzare l’esposizione di rete di tutti i dispositivi e sistemi di controllo, evitando che siano accessibili da Internet;
• collocare le reti di controllo e i dispositivi remoti dietro firewall, isolandoli dalle reti aziendali;
• quando serve accesso remoto, usare metodi più sicuri come le VPN, aggiornate all’ultima versione disponibile e consapevoli che una VPN è sicura solo quanto i dispositivi a cui è connessa;
• eseguire un’analisi di impatto e una valutazione del rischio prima di applicare qualsiasi contromisura.

CISA rimanda inoltre alle linee guida per i sistemi di controllo industriale pubblicate su cisa.gov/ics, tra cui il documento Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies e il technical information paper ICS-TIP-12-146-01B per il rilevamento e la mitigazione di intrusioni mirate. Infine, raccomanda di proteggersi dagli attacchi di social engineering non cliccando link web e non aprendo allegati in email non richieste.

La segnalazione

La vulnerabilità è stata segnalata a CISA da Tahi Wilton Geary. L’advisory è stato rilasciato in revisione iniziale il 25 agosto 2026. Non sono state fornite indicazioni su una data di scoperta precedente né su un eventuale coordinamento con il vendor per una patch futura.