Vulnerabilità BIOS Dell: la falla XOR che espone le password

Le password del BIOS di molti computer Dell non sono protette da un hash, ma da una cifratura reversibile così debole da lasciare la chiave accanto al testo cifrato. La vulnerabilità BIOS Dell, tracciata come CVE-2026-40639, permette a chi ha accesso fisico al chip di recuperare le password amministratore e utente in millisecondi, senza brute force. A scoprirla sono stati i ricercatori Craig S. Blackie (MDSec) e Darren McDonald (AmberWolf), che l’hanno resa pubblica il 10 luglio 2026. Dell aveva già emesso il proprio bollettino, DSA-2026-197, il 9 giugno 2026. Il problema non riguarda solo hardware datato: colpisce anche il thin client Wyse 5070, ancora in vendita e supportato. Vediamo come funziona lo schema, perché fallisce e quali modelli sono a rischio.

Che cos’è la vulnerabilità BIOS Dell CVE-2026-40639

La vulnerabilità BIOS Dell CVE-2026-40639 è un difetto di archiviazione delle password: il firmware salva le password amministratore e utente del BIOS come testo cifrato in XOR nella regione DVAR (Dell Variable) della flash SPI, anziché come hash a senso unico. Chi legge il contenuto del chip può recuperare la password in chiaro in millisecondi.

Dell la classifica nel bollettino ufficiale DSA-2026-197 come vulnerabilità di «weak encoding for password», sfruttabile da un attaccante non autenticato con accesso fisico per ottenere privilegi elevati. Il meccanismo difettoso è implementato nel driver SMM SystemPwSmm, comune a molte piattaforme client Dell.

Come la cifratura XOR debole espone le password

Il cuore del problema è una scelta crittografica sbagliata. Verificare una password non richiede mai di poterla recuperare: usare cifratura reversibile invece di un hash è già un errore. Ma l’implementazione peggiora le cose fino a renderle banali.

Ogni password è salvata in un record da 32 byte. Il primo carattere è memorizzato completamente in chiaro; i restanti byte sono cifrati con una chiave XOR ripetuta di 20 byte. Lo spazio non usato del campo viene riempito di zeri (null-padding) prima della cifratura.

Qui scatta la trappola: qualsiasi valore messo in XOR con zero restituisce sé stesso. Per una password di 12 caratteri o meno, la coda di byte nulli del campo viene cifrata contro zero e restituisce direttamente i byte grezzi della chiave. La chiave è di soli 20 byte in un campo di 32: il disallineamento fa trapelare l’intera chiave dentro lo stesso record. Non serve brute force né plaintext noto: si legge la chiave dalla coda e si ricostruisce la password.

Le password più lunghe lasciano una piccola «zona cieca», ma i ricercatori l’hanno aggirata. La chiave dipende da un seed fisso del dispositivo, da un GUID fisso e dal solo primo carattere della password: esistono quindi appena 256 chiavi possibili per dispositivo. Sommato al fatto che il DVAR conserva le vecchie password cancellate ma non sovrascritte, questo permette di recuperare anche passphrase lunghe. È lo stesso principio dei segreti conservati in modo insicuro che abbiamo trattato parlando di password lasciate in chiaro in memoria.

Quali modelli Dell sono vulnerabili

I ricercatori hanno confermato la falla su un campione limitato di dispositivi, verificando anche quali usano già uno schema sicuro. Ecco il quadro testato.

Il messaggio chiave: Dell sa come farlo bene, perché sui modelli nuovi ha adottato uno schema SIVB con hash SHA-256 in un vault cifrato. Il problema è che la correzione non ha raggiunto tutto ciò che è ancora venduto e installato. Secondo i ricercatori la debolezza è architetturale e potrebbe riguardare qualsiasi BIOS Dell che usi il DVAR store XOR.

Perché conta: rischi reali e accesso fisico

Recuperare la password amministratore del BIOS annulla il controllo che quella password dovrebbe garantire. Con essa un attaccante può cambiare l’ordine di avvio, disabilitare il Secure Boot, avviare da supporti rimovibili e raggiungere ogni impostazione del firmware.

L’impatto maggiore riguarda la crittografia del disco. Su molti dispositivi la password BIOS è ciò che separa l’accesso fisico dall’avvio di un sistema operativo ostile per attaccare lo storage cifrato. C’è poi un rischio organizzativo: nelle aziende la stessa password BIOS è spesso condivisa su molti dispositivi, e a volte riutilizzata altrove. Estrarla da una sola macchina può quindi aprire porte ben oltre quel singolo PC.

• Bypass del boot protetto: Secure Boot e ordine di avvio diventano modificabili.
• Rischio riuso credenziali: una password BIOS condivisa espone l’intero parco macchine.
• Hardware di seconda mano: dati residui nella flash possono rivelare password precedenti anche dopo la rimozione.

Va detto con onestà, come fanno gli stessi ricercatori: non è un attacco remoto. Richiede il dispositivo in mano e la lettura della flash. È però uno scenario realistico per device persi, rubati, dismessi o lasciati incustoditi.

Come proteggersi dalla vulnerabilità BIOS Dell

La prima mossa è applicare l’aggiornamento del BIOS dove disponibile. L’advisory DSA-2026-197 copre una prima ondata di piattaforme (tra cui Edge Gateway, Embedded PC, Precision e Latitude Rugged); Dell ha dichiarato ai ricercatori che le restanti piattaforme sono previste per la remediation entro fine luglio 2026. È un obiettivo dichiarato, non ancora una correzione distribuita ovunque.

In attesa delle patch, le raccomandazioni difensive sono chiare:

1. Considera la password BIOS come offuscamento, non protezione, per chiunque abbia accesso fisico alla flash.
2. Non affidarti alla sola password BIOS per il boot: usa Secure Boot con chiavi proprie, boot misurato via TPM e crittografia del disco legata ai PCR corretti.
3. Usa una password BIOS unica per dispositivo, così recuperarne una non sblocca l’intero parco.
4. Applica controlli fisici e di dismissione: rilevamento intrusione chassis e wipe reale prima della rivendita.

Sul fronte password, vale il principio generale: meglio segreti robusti e non riutilizzati. Se vuoi capire come costruire passphrase davvero solide, abbiamo spiegato il metodo nell’articolo su come funziona Diceware per passphrase sicure.

Domande frequenti

Cosa è la vulnerabilità CVE-2026-40639?

È una falla nel modo in cui alcuni BIOS Dell salvano le password: usano una cifratura XOR reversibile invece di un hash, lasciando trapelare la chiave nella flash SPI. Chi legge il chip può recuperare la password amministratore o utente in millisecondi, senza brute force. Dell la traccia come DSA-2026-197.

Quali computer Dell sono a rischio?

I ricercatori hanno confermato la falla su Latitude E7250, Latitude 7490, XPS 15 9560 e sul thin client Wyse 5070. L’OptiPlex 3000 non è vulnerabile perché usa uno schema con hash SHA-256. La debolezza sembra però architetturale e potrebbe estendersi ad altre piattaforme che usano lo store DVAR con XOR.

Serve accesso fisico per sfruttarla?

Sì. Non è un attacco remoto. Occorre leggere il contenuto della flash SPI, tramite una clip e un programmatore economico oppure avviando un sistema operativo controllato dall’attaccante. Non richiede però autenticazione né interazione dell’utente, ed è realistico per dispositivi persi, rubati o dismessi.

Quanto è grave secondo il punteggio CVSS?

Dell le assegna un CVSS 3.1 pari a 5.7, gravità media. I ricercatori sostengono invece 6.1: il disaccordo riguarda l’Attack Complexity, che Dell valuta Alta e i ricercatori Bassa, dato che una volta ottenuto il dump della flash il recupero è deterministico e ripetibile.

Conclusione

La vulnerabilità BIOS Dell CVE-2026-40639 ricorda una lezione semplice: la sicurezza ai livelli più bassi conta quanto quella applicativa. Una «cifratura» XOR che lascia la chiave accanto al testo cifrato non è protezione, ma un lucchetto con la chiave appesa. Aggiorna il BIOS dove puoi e non contare sulla sola password del firmware.

Hai ancora in uso un Latitude o un Wyse tra quelli citati? Raccontamelo nei commenti: sei tu a gestire il parco macchine o lo subisci?

#tuttelevitediunmaker