CVE-2026-13326 è una vulnerabilità nel modulo Qt NFC che può essere attivata da un tag NFC malevolo appositamente costruito. Qt l’ha resa pubblica il 10 settembre 2026: il problema riguarda la classe QNdefNfcTextRecord del modulo qtconnectivity e combina una lettura fuori dai limiti del buffer con un integer underflow.
Per chi sviluppa applicazioni con Qt e legge record NDEF di tipo testo, il punto operativo è semplice: diverse release ancora in uso sono vulnerabili e vanno aggiornate oppure corrette con le patch ufficiali. Per l’utente finale, invece, non si tratta di un attacco remoto via Internet: l’attaccante deve controllare un tag NFC e portarlo vicino al dispositivo, mentre l’utente deve effettuare la lettura del tag.
Quali versioni di Qt sono vulnerabili a CVE-2026-13326
Secondo l’advisory ufficiale di Qt, risultano interessate queste versioni:
- da Qt 5.2.0 a Qt 6.8.8;
- da Qt 6.9.0 a Qt 6.10.3;
- da Qt 6.11.0 a Qt 6.11.1.
Le versioni corrette indicate da Qt sono Qt 6.8.9, Qt 6.10.4 e Qt 6.11.2 o successive. Chi non può aggiornare subito può applicare le patch pubblicate dal progetto per i rami supportati.
Come funziona la vulnerabilità nel record NDEF
Un record NDEF di testo contiene, tra le altre informazioni, la lunghezza del codice lingua. Il problema nasce quando un tag NFC dichiara una lunghezza superiore a quella realmente disponibile nel payload. Nel percorso vulnerabile, Qt NFC non controlla correttamente che quel valore rientri nelle dimensioni effettive del buffer.
La sottrazione usata per calcolare la lunghezza del testo restante può quindi andare in underflow. Il valore risultante diventa molto più grande del previsto e viene usato per costruire la stringa: il codice finisce così per leggere oltre la fine del payload.
Qt classifica CVE-2026-13326 con CVSS 4.0 pari a 6,9, gravità Medium. L’effetto peggiore indicato nell’advisory è la chiusura inattesa dell’applicazione, quindi un denial of service. È inoltre possibile una perdita limitata di riservatezza, perché dati presenti nella memoria adiacente al buffer potrebbero finire nella stringa restituita.
Serve essere vicini al dispositivo per sfruttarla?
Sì. Il vettore è NFC e richiede prossimità fisica: l’attaccante deve predisporre un tag malevolo e il dispositivo deve leggerlo. L’advisory di Qt specifica anche la necessità di un’azione dell’utente, cioè il tap o comunque l’avvicinamento necessario alla lettura del tag.
Questo distingue CVE-2026-13326 dalle vulnerabilità sfruttabili direttamente da rete. Non significa però che il rischio vada ignorato nelle applicazioni che elaborano tag di provenienza non controllata, soprattutto in scenari pubblici, logistici, industriali, eventi, badge o sistemi in cui la lettura NFC è parte normale del flusso operativo.
Cosa devono fare gli sviluppatori Qt
La correzione preferibile è passare a una release non vulnerabile del ramo Qt utilizzato. In pratica:
- su Qt 6.8, aggiornare almeno a 6.8.9;
- su Qt 6.10, aggiornare almeno a 6.10.4;
- su Qt 6.11, aggiornare almeno a 6.11.2;
- se l’upgrade completo non è immediatamente possibile, valutare la patch ufficiale del proprio ramo e ricompilare il componente interessato.
È opportuno verificare anche come Qt viene distribuito nell’applicazione. In molte applicazioni desktop, mobile o embedded le librerie Qt vengono incluse nel pacchetto: in questi casi il semplice aggiornamento del sistema operativo non garantisce che il componente vulnerabile sia stato sostituito. Serve una nuova build dell’app oppure un aggiornamento fornito dal produttore.
Dopo la patch conviene testare i flussi che elaborano record NDEF di testo, inclusi payload malformati e campi lingua anomali. Per chi gestisce una pipeline di sviluppo, questa è anche l’occasione per controllare la distinta delle dipendenze e le versioni realmente incluse negli artefatti finali. Un approccio simile è utile per altre vulnerabilità di componenti software e dipendenze, come abbiamo visto anche nel caso della CVE-2026-82329 in JFrog Artifactory.
Cosa può fare chi usa app con NFC
L’utente normalmente non può verificare quale versione di Qt sia incorporata in un’app. La misura più utile è quindi installare gli aggiornamenti dell’applicazione appena disponibili e, fino alla correzione, evitare tag NFC sconosciuti o non affidabili.
Il consiglio è particolarmente sensato perché NFC è già una superficie usata in altri tipi di attacco. Su Android, per esempio, abbiamo analizzato NGate e gli abusi legati ai dati NFC delle carte di pagamento: CVE-2026-13326 è tecnicamente diversa, ma ricorda perché i tag e i flussi NFC non dovrebbero essere trattati come input automaticamente fidati.
Patch ufficiali per CVE-2026-13326
Qt ha pubblicato patch per i rami 6.8, 6.10 e 6.11 nel proprio repository e nella directory delle release. Chi mantiene un prodotto può partire dall’advisory ufficiale per individuare la patch del ramo corretto e verificare l’integrazione nella propria build. La directory delle release ufficiali Qt permette inoltre di controllare le versioni disponibili.
La priorità non è soltanto evitare il crash: poiché la falla comporta una lettura oltre il buffer e Qt cita una possibile esposizione limitata di memoria, le applicazioni che accettano tag NFC da utenti o ambienti non controllati dovrebbero pianificare l’aggiornamento senza rinviarlo.
In breve
CVE-2026-13326 colpisce Qt NFC nella gestione dei record NDEF di testo. Un tag costruito ad arte può dichiarare una lunghezza del codice lingua incoerente con il payload, provocando un integer underflow e una lettura fuori limite. L’attacco richiede prossimità e interazione dell’utente, ma può causare crash e una limitata esposizione di dati in memoria. Le release da adottare sono Qt 6.8.9, 6.10.4, 6.11.2 o successive.
