CVE-2026-59105: password prevedibile del sysadmin SQL in Jumis, come verificare e mitigare

CVE-2026-59105 è una vulnerabilità critica (CVSS 9.8) nel gestionale Jumis, già noto come Tildes Jumis. Il software crea su Microsoft SQL Server un login chiamato ##Tilde_JumisAdmin## con ruolo sysadmin, la cui password viene calcolata con un algoritmo fisso a partire dal nome del server. Chi raggiunge l'istanza SQL può ricavare la password e ottenere il controllo completo del database e, tramite xp_cmdshell, del sistema operativo. Qui spiego come capire se sei esposto e cosa fare.

Cosa è successo: la vulnerabilità CVE-2026-59105 in Jumis

Jumis utilizza un login SQL Server dedicato, ##Tilde_JumisAdmin##, la cui password non è impostata dall'amministratore ma derivata in modo deterministico da un unico dato: il nome del server SQL restituito da @@servername. L'algoritmo di derivazione è incorporato nel client ed è identico in tutte le installazioni; contiene una chiave segreta fissa, uguale per tutti. Il risultato è che la password è ricostruibile offline da chiunque conosca il nome del server.

Il nome del server non è un segreto. Il suffisso dell'istanza è fisso nel software e il nome host si scopre tramite il SQL Server Browser (UDP 1434), la risposta pre-login del protocollo TDS, oppure DNS e NetBIOS. Si tratta in sostanza di credenziali hard-coded, un difetto di progettazione e non un bug di una singola funzione.

Chi è colpito: versioni vulnerabili di Jumis

Sono interessate le installazioni di Jumis che utilizzano Microsoft SQL Server con il login ##Tilde_JumisAdmin##. La descrizione ufficiale cita in particolare l'installazione server on-premise, che abilita xp_cmdshell durante il normale funzionamento. Le versioni esatte colpite e le eventuali versioni corrette non sono indicate nelle fonti: vanno verificate sull'advisory del produttore e sulla scheda NVD della CVE.

Il problema riguarda anche chi ospita più clienti sulla stessa istanza SQL: il login sysadmin dà accesso in lettura e scrittura a tutti i database contabili presenti sul server, non solo al proprio.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tradotto: attacco via rete, bassa complessità, nessun privilegio e nessuna interazione dell'utente richiesti, impatto alto su riservatezza, integrità e disponibilità. Punteggio 9.8, gravità critica.

Cosa ottiene un attaccante che raggiunge la porta SQL:

• Accesso sysadmin all'intera istanza SQL Server, quindi controllo di ogni database ospitato.
• Esfiltrazione e manomissione dei dati contabili: fatture, anagrafiche, movimenti.
• Esecuzione di comandi sul sistema operativo tramite xp_cmdshell, con i privilegi del servizio SQL Server. Da qui l'attaccante può muoversi nella rete o cifrare i dati.

Al momento la vulnerabilità non risulta nel catalogo CISA KEV, quindi non ci sono conferme di sfruttamento attivo. Dato che l'attacco non richiede exploit sofisticati ma solo il calcolo di una password, considero il rischio concreto per qualsiasi istanza raggiungibile.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica del login e del ruolo

Collegati all'istanza con un account amministrativo (SSMS o sqlcmd) ed esegui:

• SELECT name, is_disabled, create_date FROM sys.server_principals WHERE name = '##Tilde_JumisAdmin##';
• SELECT IS_SRVROLEMEMBER('sysadmin', '##Tilde_JumisAdmin##'); (1 significa sysadmin)
• EXEC sp_configure 'xp_cmdshell'; per vedere se la funzione è abilitata
• SELECT @@servername, @@version; per nome istanza e versione di SQL Server

La versione di Jumis installata si legge nella finestra informazioni del programma; confrontala con l'advisory del produttore.

Verifica dell'esposizione di rete

• Sul server: netstat -ano | findstr 1433 e netstat -ano | findstr 1434 per vedere su quali interfacce ascolta SQL Server e il Browser.
• Sul firewall perimetrale: cerca regole di NAT o port forwarding verso TCP 1433 (o la porta dell'istanza) e UDP 1434. Se esistono, l'istanza è raggiungibile da internet.
• Dall'esterno: una scansione delle porte dal tuo IP pubblico conferma se la porta risponde.
• Sulla LAN: valuta chi può raggiungere il server. Un portatile infetto o un ospite sul Wi-Fi aziendale ha lo stesso accesso di un dipendente.

Log e indicatori di compromissione

• Log degli errori di SQL Server (SSMS, Gestione, Log di SQL Server): cerca login riusciti e falliti di ##Tilde_JumisAdmin## da indirizzi IP o orari insoliti. Se l'audit dei login riusciti è disattivato, abilitalo.
• Registro eventi di Windows, Security, eventi 4624 e 4625 sull'host SQL.
• Esecuzioni di xp_cmdshell fuori dagli orari di lavoro, processi figli di sqlservr.exe (cmd.exe, powershell.exe) e nuovi login o database creati di recente.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Le fonti disponibili non indicano una versione corretta di Jumis né una patch. La correzione definitiva richiede che il produttore cambi il modo in cui il client si autentica, perché finché il client calcola la password dal nome del server, la vulnerabilità resta. Verifica sul sito e sull'advisory del produttore se è stato rilasciato un aggiornamento e applicalo appena disponibile su un ambiente di test, poi in produzione.

Un avvertimento: cambiare manualmente la password di ##Tilde_JumisAdmin## o rimuoverla dal ruolo sysadmin può bloccare il gestionale, perché il client si aspetta la password calcolata. Qualsiasi intervento sul login va concordato con il fornitore o testato prima.

Cosa fare subito: mitigazioni e hardening

1. Chiudi l'esposizione a internet. Rimuovi ogni regola che pubblica TCP 1433 e UDP 1434. Se serve accesso remoto, passa da VPN.
2. Segmenta la rete. Limita con il firewall del server e le VLAN gli indirizzi che possono raggiungere la porta SQL ai soli client Jumis e agli amministratori.
3. Disattiva il SQL Server Browser se non è indispensabile, così il nome dell'istanza non viene annunciato sulla rete.
4. Riduci il danno di xp_cmdshell. Esegui il servizio SQL Server con un account a privilegi minimi, non come amministratore locale o SYSTEM. Così un eventuale accesso resta confinato.
5. Attiva l'audit dei login riusciti e falliti e monitora l'uso di ##Tilde_JumisAdmin## con un alert.
6. Ruota le credenziali degli altri account SQL e Windows sul server se sospetti accessi, e verifica i backup: devono essere offline o su un sistema non raggiungibile dal server SQL.

Se sospetti una compromissione: incident response e analisi forense

Se trovi accessi anomali, non spegnere il server e non reinstallare nulla: perderesti la memoria volatile e le tracce necessarie a capire cosa è stato preso. Isola la macchina dalla rete, conserva i log di SQL Server e di Windows, e fai eseguire una copia forense dei dischi e della memoria prima di qualsiasi bonifica. I dati contabili sono dati personali: una violazione può richiedere la notifica al Garante entro 72 ore ai sensi del GDPR, e la valutazione va fatta con elementi oggettivi, non a sensazione.

Nel mio studio gestisco l'incident response e l'analisi forense come perito iscritto all'albo del tribunale, con costi indicativi da 1.500 a 6.000 € per l'incident response e da 2.000 a 8.000 € per un intervento di cybersecurity completo. Per i primi passi puoi leggere anche cosa fare nelle prime 24 ore in caso di malware in azienda.

Fonti ufficiali

• Scheda NVD (National Vulnerability Database) della CVE-2026-59105, con descrizione ufficiale e vettore CVSS.
• Catalogo CISA Known Exploited Vulnerabilities, per verificare eventuali conferme future di sfruttamento attivo.
• GitHub Security Advisories per la segnalazione originale.
• Sito e advisory del produttore di Jumis per versioni colpite e aggiornamenti.

Hai Jumis in azienda e vuoi una verifica?

Posso controllare l'esposizione dell'istanza SQL, segmentare la rete e impostare il monitoraggio degli accessi, oppure intervenire se il server è già stato compromesso. Trovi l'elenco completo dei servizi dello studio, puoi richiedere un preventivo gratuito con risposta entro 24 ore o scrivermi dalla pagina contatti, anche su WhatsApp.