Autenticazione sotto assedio: la settimana in cui l'OT critico ha perso le chiavi di accesso

L'ultima settimana di ottobre 2026 non sarà ricordata per un singolo exploit spettacolare, ma per la densità e la coerenza dei segnali che ha inviato. In sette giorni, il catalogo Known Exploited Vulnerabilities (KEV) di CISA si è arricchito di nove nuove voci (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog), mentre tre grandi vendor — Hitachi Energy, Mitsubishi Electric/ICONICS e Siemens — hanno pubblicato advisory su vulnerabilità che, lette insieme, disegnano un quadro preoccupante: i meccanismi di autenticazione e autorizzazione sui sistemi OT critici stanno cedendo sotto il peso di architetture legacy, complessità crescente e una superficie d'attacco che non smette di allargarsi.

Non è una coincidenza che due advisory separati su prodotti Hitachi Energy — CoreTec e TRO600 — siano usciti lo stesso giorno, il 29 ottobre (Hitachi Energy CoreTec Product) (Hitachi Energy TRO600 series products). Né che, a distanza di due giorni, Mitsubishi Electric/ICONICS abbia dovuto affrontare un ventaglio di falle che vanno dall'esecuzione arbitraria di codice al bypass dell'autenticazione su quasi tutta la sua suite SCADA/HMI (Mitsubishi Electric and Mitsubishi Electric Iconics Digital Solutions GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 and BizViz). Il denominatore comune non è un singolo bug, ma una classe di fallimenti: chi controlla chi ha accesso a cosa, e come.

Hitachi Energy: due prodotti, stesso giorno, stesso settore, fallimenti diversi

Il 29 ottobre CISA ha pubblicato ICSA-26-302-03 su CoreTec e ICSA-26-302-02 su TRO600. Entrambi i prodotti servono il settore energetico globale, entrambi sono made in Switzerland, ma le vulnerabilità raccontano storie diverse che convergono nello stesso rischio: la perdita di controllo sul dispositivo.

Su CoreTec (versioni 5.x ≤ 3.4.0 e 5.0.0; CoreTec 4 ≤ 3.4.0) esiste una OS command injection (CVE-2026-13162) nel demone di configurazione che gestisce la sincronizzazione oraria (Hitachi Energy CoreTec Product). Un utente autenticato con certi ruoli può iniettare comandi di shell arbitrari attraverso il parametro del fuso orario, ottenendo il pieno controllo del dispositivo. CVSS 8.8. La correzione richiede l'aggiornamento a CoreTec 5.0.0 (per CoreTec 5) o la migrazione a CoreTec 5 (per CoreTec 4). C'è anche una "Dirty Frag" (CVE-2026-43284), una condizione write-what-where, ma i dettagli tecnici nell'advisory sono limitati.

Su TRO600 (versioni ≤ 9.2.1.6 per il ramo 9.2 e ≤ 9.1.1.0 per il ramo 9.1) il problema è un bypass delle restrizioni di accesso alla rete (CVE-2026-10756) (Hitachi Energy TRO600 series products). Un attaccante autenticato può usare il port forwarding per raggiungere servizi vincolati a localhost, accedendo a funzionalità sensibili e informazioni riservate. CVSS 7.5 (v3.1) / 7.7 (v4.0). La correzione è l'aggiornamento a 9.2.2.1 (ramo 9.2) e 9.1.2.0 (ramo 9.1). La seconda vulnerabilità (CVE-2026-106087) è un "Missing Authentication for Critical Function" — letteralmente, una funzione critica senza autenticazione.

Due prodotti, due vettori: uno permette a un utente già autenticato di diventare root via command injection; l'altro permette a un utente autenticato di ignorare i confini di rete progettati per isolare i servizi critici. In entrambi i casi, l'autenticazione c'è, ma l'autorizzazione e la validazione dell'input falliscono. È il classico scenario "assume breach" che l'OT fatica ancora a gestire: una volta dentro, la rete piatta e i controlli deboli fanno il resto.

L'epidemia di bypass dell'autenticazione: SAML, SCADA, firewall

Lo stesso 29 ottobre, Siemens ha pubblicato l'advisory ICSA-26-302-01 sul modulo SAML per Mendix (Siemens Mendix SAML Module). La vulnerabilità (CVE-2026-89209, CVSS 6.8) permette a un attaccante non autenticato di riutilizzare (replay) un'asserzione SAML valida nei flussi IdP-initiated, ottenendo accesso non autorizzato all'applicazione. Colpisce tre linee di prodotto (Mendix 9, 10, 11 compatible) e la mitigazione immediata è disabilitare l'SSO IdP-initiated — un segnale chiaro: il protocollo c'è, l'implementazione no.

Due giorni prima, Mitsubishi Electric/ICONICS ha dovuto gestire un advisory tentacolare su GENESIS, GENESIS64, ICONICS Suite e moduli correlati (Mitsubishi Electric and Mitsubishi Electric Iconics Digital Solutions GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 and BizViz). Tra le falle: CVE-2026-16436 e CVE-2026-16437 (bypass autenticazione), CVE-2026-16438 (operazioni arbitrarie), e persino CVE-2023-4863 (esecuzione codice arbitrario, una vecchia conoscenza legata a WebP) ancora presente nelle versioni 10.97-10.97.2. La gamma di versioni colpite è vasta (≥10.97|≤10.97.2 per alcune, ≤10.97.3 o ≤11.03 per altre), segno che il debito tecnico si accumula su intere linee di prodotto.

A completare il quadro, il 29 ottobre CISA ha aggiunto al KEV CVE-2026-76418 su Cisco Secure Firewall ASA/FTD (CISA Adds Two Known Exploited Vulnerabilities to Catalog): un "Unchecked Return Value to NULL Pointer Dereference" che può portare a denial of service o, potenzialmente, a bypass di controlli di sicurezza. Lo stesso giorno, GitLab (CVE-2026-97229, integer overflow) entra nel catalogo. Due componenti infrastrutturali — firewall perimetrali e piattaforma DevOps — attivamente sfruttati.

Il pattern è chiaro: l'autenticazione non è più un perimetro, è una superficie d'attacco. SAML replay, bypass su SCADA, command injection post-auth, port forwarding abuse, NULL pointer dereference su firewall. Sono classi diverse, ma tutte sfruttano la fiducia mal riposta in un singolo fattore (token, sessione, ruolo, indirizzo IP sorgente) senza verifiche continue, senza zero trust reale, senza segmentazione che contenga il danno.

KEV a ritmo settimanale: nove vulnerabilità in sette giorni

Il catalogo KEV non è una lista teorica: richiede evidenza di sfruttamento attivo. Nel periodo 23-29 ottobre 2026, CISA ha aggiunto:

• 23 ott: Arista VeloCloud Orchestrator SQL Injection (CVE-2026-114625) (CISA Adds One Known Exploited Vulnerability to Catalog) e Collabora Online OS Command Injection (CVE-2026-110447) (CISA Adds One Known Exploited Vulnerability to Catalog)
• 26 ott: PHP Memory Corruption (CVE-2026-109618) e PHP Stale Internal Request-State (CVE-2026-109619) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)
• 27 ott: Adobe Commerce/Magento Unrestricted File Upload (CVE-2026-48356) e Google Brotli Unchecked Return Value (CVE-2026-111497) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)
• 28 ott: VMware ESX Insufficient Logging (CVE-2026-41709) e Linux Kernel Missing Initialization (CVE-2026-46300) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)
• 29 ott: GitLab Integer Overflow (CVE-2026-97229) e Cisco Secure Firewall NULL Pointer Dereference (CVE-2026-76418) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)

Nove CVE in sette giorni. Due su componenti ubiqui (Linux kernel, PHP), due su infrastruttura di rete (Cisco, Arista), due su piattaforme applicative critiche (GitLab, Adobe Commerce), una su virtualizzazione (VMware), una su libreria di compressione (Brotli), una su collaborazione documentale (Collabora). La direttiva BOD 26-04 impone alle agenzie federali USA di patchare queste falle su asset esposti pubblicamente con priorità assoluta, e di verificare compromissioni pre-esistenti (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Per le aziende italiane, il messaggio è operativo: il tempo tra disclosure e sfruttamento attivo si misura in giorni, non mesi. La gestione del rischio basata su CVSS statico è obsoleta; serve un approccio KEV-first, integrato con threat intelligence sul proprio settore.

EPICS Base: la supply chain invisibile dei sistemi di controllo

Il 27 ottobre, un advisory su EPICS Base (Experimental Physics and Industrial Control System) ha rivelato quattro vulnerabilità critiche (CVSS 9.8) nelle versioni ≤ 7.0.10 (EPICS Base). EPICS è il framework open-source de facto per sistemi di controllo in acceleratori, impianti di fusione, manifattura avanzata, impianti energetici. Le falle — integer overflow, gestione inconsistente della lunghezza, type confusion — sono nel cuore del processing delle richieste di rete. Un attaccante remoto non autenticato può corrompere memoria, causare DoS o potenzialmente eseguire codice arbitrario.

La correzione richiede l'aggiornamento a 7.0.11 via repository GitHub (EPICS Base). Ma EPICS è spesso embedded in sistemi vendor, non aggiornabile direttamente dall'utente finale. È la supply chain invisibile dell'OT: una libreria critica, diffusa globalmente, mantenuta da una comunità distribuita, senza un unico vendor responsabile della distribuzione delle patch. Chi gestisce impianti critici in Italia — da acceleratori di ricerca a linee di produzione farmaceutica — deve mappare dove gira EPICS e pretendere dagli integratori tempi certi di aggiornamento.

Implicazioni per le aziende italiane: energia, manifattura, catena della fornitura

L'Italia ha una concentrazione unica di infrastrutture energetiche critiche (Terna, Snam, Enel, reti di distribuzione locale) e di manifattura avanzata (automotive, farmaceutico, alimentare, packaging) che girano su esattamente questi stack: SCADA Mitsubishi/ICONICS, gateway Hitachi Energy, piattaforme low-code Siemens Mendix, firewall Cisco, hypervisor VMware, runtime PHP, kernel Linux, librerie di compressione Brotli.

Tre azioni concrete, derivabili dai dati di questa settimana:

1. Inventario e priorità KEV su asset OT esposti: non basta il vulnerability scanner. Serve correlare l'inventario OT (passivo, non intrusivo) con il catalogo KEV aggiornato quotidianamente. Le nove CVE KEV di ottobre colpiscono componenti che sicuramente girano in rete OT/IT converge: Cisco ASA/FTD per accesso remoto manutentori, VMware ESXi per virtualizzazione SCADA, Linux kernel su gateway e HMI, PHP su portali web di supervisione, GitLab su pipeline DevOps OT.

1. Verifica dell'implementazione SAML/OIDC su ogni applicazione Mendix e similari: il bypass SAML di Siemens non è un bug del protocollo, è un bug di implementazione (mancata validazione del replay in flussi IdP-initiated). Ogni applicazione che federà identità — portali fornitori, dashboard clienti, sistemi MES — va testata per replay, token binding, audience restriction, e va disabilitato l'IdP-initiated dove non strettamente necessario (Siemens Mendix SAML Module).

1. Mappatura della supply chain software OT (SBOM operativo): EPICS Base, Brotli, librerie PHP, kernel Linux — sono componenti transitivi. Nessun vendor OT oggi fornisce SBOM completi e aggiornati per firmware di PLC, gateway, HMI. La direttiva NIS2 e il Cyber Resilience Act europeo lo richiederanno, ma l'operatività parte ora: pretendere SBOM dai vendor, confrontarli con KEV e advisory CISA/ICS, e avere un piano di compensazione (segmentazione, monitoraggio anomalie, virtual patching) quando la patch vendor non arriva.

La settimana del 23-29 ottobre 2026 non ha portato un "nuovo Stuxnet". Ha portato la conferma che l'identità e l'accesso sono il nuovo perimetro dell'OT, e che questo perimetro è bucato da implementazioni frettolose, legacy non gestito, e una catena di fornitura software opaca. Le aziende italiane che gestiscono infrastrutture critiche non possono permettersi di trattare questi advisory come rumore di fondo. Ogni CVE KEV è un segnale: qualcuno, da qualche parte, sta già usando quella chiave per aprire una porta che dovrebbe essere chiusa.