Un drive malformato può prendere il controllo di milioni di dispositivi embedded
Qui non si rompe un singolo parser di file, ma il confine di fiducia dei dispositivi che leggono FAT ed exFAT da media rimovibili o immagini di update. Se la base di codice accetta i dettagli del filesystem dal drive stesso, una scheda o una chiavetta preparata ad arte può trasformare un semplice accesso fisico in memory corruption, esecuzione di codice o brick.
runZero ha divulgato sette bug in FatFs, con PoC disk images pubbliche. Le falle toccano prodotti e ambienti molto diversi — telecamere, controller industriali, ATM, chioschi, sistemi di voto — e quasi tutte non hanno una correzione upstream; una sola, CVE-2026-6684, risulta già corretta in FatFs R0.16.
Il rischio che resta aperto è la frammentazione: senza una correzione a monte, i vendor dovranno rilasciare patch device-specifiche e non uniformi, lasciando finestre di esposizione diverse da modello a modello.