La parte davvero fragile non è il player visibile, ma la libreria condivisa che molte app usano per aprire media non fidati. Se resta una copia vulnerabile di libavcodec in un file manager, in un media server o in un servizio di transcodifica, il fix dell’interfaccia esterna non chiude il varco.
JFrog attribuisce a CVE-2026-8461 un heap out-of-bounds write nel decoder MagicYUV di FFmpeg, capace di trasformare un crash in remote code execution tramite file multimediali costruiti ad arte. Il payload può arrivare anche con file piccoli, circa 50 KB, e FFmpeg 8.1.2 è già disponibile come versione corretta; il rischio riguarda prodotti che incorporano FFmpeg, tra cui OBS Studio, Jellyfin, NAS appliance e altri flussi che generano anteprime o transcodificano automaticamente i contenuti.
Per chi distribuisce o gestisce software che integra FFmpeg, il punto non è solo aggiornare il pacchetto principale, ma anche rintracciare le copie embeddeding sparse nell’ecosistema. Finché una di quelle rimane indietro, il percorso di RCE resta aperto attraverso un media file apparentemente banale.