Credenziali deboli e falle di autenticazione negli impianti industriali: lezioni dagli ultimi advisory CISA

Introduzione

Nel panorama della cybersecurity 2026, le notizie spesso si concentrano su minacce sofisticate legate all'intelligenza artificiale o a catene di approvvigionamento complesse. Tuttavia, i dati più recenti del CISA Vulnerability Review mostrano che la maggior parte delle compromissioni continua a sfruttare debolezze note e ben documentate, piuttosto che tecniche all'avanguardia (CISA Vulnerability Review). Questo articolo esamina una serie di advisory pubblicati negli ultimi sette giorni che evidenziano problematiche di gestione delle credenziali, autenticazione mancante e injection di comandi in dispositivi industriali e di rete. L'obiettivo è fornire alle imprese italiane una panoramica concreta delle falle più frequenti e indicazioni pratiche per mitigare il rischio, senza ricorrere a hype tecnologico.

Credenziali deboli e hashing insufficiente: il caso OTTO Fleet Manager

Una delle vulnerabilità più rilevanti riguarda il prodotto Rockwell Automation OTTO Fleet Manager, utilizzato nella gestione di flotte di veicoli autonomi in ambito manifatturiero e di trasporto. L'advisory segnala che le versioni ≤ V2.36.2 implementano una funzione di hashing delle password basata su bcrypt con un work factor insufficiente (Rockwell Automation OTTO Fleet Manager). Questo riduce il costo computazionale necessario per un attaccante che, avendo ottenuto un backup non cifrato del sistema, possa eseguire attacchi di brute‑force offline contro gli hash delle credenziali. Il punteggio CVSS v3 è 6.8, classificato come medio‑alto.

La correzione consigliata è l'aggiornamento alla versione 2.36.3, che ripristina un lavoro crittografico adeguato. Per le organizzazioni che non possono effettuare immediatamente l'upgrade, CISA suggerisce di seguire le best practice di sicurezza di Rockwell Automation, tra cui la cifratura dei backup e il monitoraggio degli accessi ai file di configurazione.

Questo caso sottolinea quanto sia fondamentale non affidarsi esclusivamente alla complessità delle password, ma garantire che l'algoritmo di hashing sia configurato con parametri adeguati al contesto di utilizzo. In ambito OT, dove i dispositivi spesso rimangono in servizio per anni, una revisione periodica delle impostazioni di sicurezza delle credenziali dovrebbe diventare pratica standard.

Autenticazione mancante e injection nei dispositivi edge industriali

Un gruppo di advisory evidenzia vulnerabilità che consentono a un attaccante remoto di ottenere il pieno controllo del dispositivo semplicemente sfruttando l'assenza di controlli di autenticazione o iniettando comandi del sistema operativo.

• Xiiaozet LK100W (versione < 2.1.240) presenta tre CVE distinti: un'OS command injection tramite l'interfaccia web gestita (CVE‑2026‑78037), una funzione critica invocabile senza autenticazione (CVE‑2026‑78239) e un bypass di autenticazione tramite percorso alternato (CVE‑2026‑76943) (Xiiaozet LK100W). Il punteggio CVSS v3 raggiunge 9.8, indicando una gravità critica. La mitigazione proposta è l'aggiornamento alla versione 2.1.240.

• Ebyte NA111‑M (firmware 9013‑2‑17) accumula una serie di CVE che includono mancata autenticazione per funzioni critiche, utilizzo di metodi GET con stringhe di query sensibili, CSRF, tentativi di autenticazione eccessivi, mancata autorizzazione, trasmissione e memorizzazione in chiaro di informazioni sensibili, uso di algoritmi crittografici deboli e autenticazione lato client (Ebyte NA111‑M). Anche qui il CVSS v3 è 9.8. L'azienda ha confermato che un patch è in sviluppo, ma al momento non è disponibile una correzione ufficiale; le organizzazioni sono invitate a limitare l'esposizione dell'interfaccia web a reti fidate e a monitorare i log per tentativi di accesso non autorizzati.

• All‑Line Equipment Company Fuel‑Boss è affetto da due vulnerabilità classiche: l'injection di argomenti nei comandi IMAP (CVE‑2018‑19518) e un buffer overflow tradizionale (CVE‑2019‑11043) (All‑Line Equipment Company Fuel‑Boss). Con un CVSS v3 di 8.7, queste falle consentono l'esecuzione di codice arbitrario tramite nomi di server IMAP malevoli o input sovradimensionati. La mitigazione prevede l'applicazione di patch specifiche o l'aggiornamento a versioni non vulnerabili del toolkit IMAP sottostante.

• Applied Systems Engineering ASE2000 V2 Communications Test Set combina una vulnerabilità XXE (CVE‑2018‑1285) dovuta alla mancata disattivazione dell'elaborazione di entità XML esterne in log4net e una convalida errata dei certificati TLS (CVE‑2026‑18717) (Applied Systems Engineering ASE2000 V2). Il punteggio CVSS v3 è 9.8. La soluzione consiste nell'aggiornare alla versione 2.38, che include una versione più recente di log4net e una logica di validazione dei certificati corretta.

Questi esempi dimostrano come la mancata validazione degli input e l'omissione di controlli di autenticazione siano ancora cause predominanti di compromissione, anche in dispositivi destinati a scenari industriali critici. La lezione per le aziende è di adottare un approccio "secure by design" già nella fase di selezione dei fornitori, richiedendo evidenze di test di penetrazione, controlli di input rigorosi e meccanismi di autenticazione obbligatori per ogni interfaccia amministrativa.

Vulnerabilità di denial‑of‑service nei sistemi di automazione

Non tutte le falle portano al controllo totale del dispositivo; alcune mirano a interrompere la disponibilità del servizio, con impatti potenzialmente gravi su linee di produzione o infrastrutture critiche.

• Mitsubishi Electric CNC Series (Update A) è affetto da CVE‑2025‑2399, una validazione impropria di indice, posizione o offset che provoca una lettura fuori dai limiti (out‑of‑bounds read) e può portare a una condizione di denial‑of‑service (Mitsubishi Electric CNC Series (Update A). Il punteggio CVSS v3 è 5,9. Sebbene la gravità sia media, l'effetto di un DoS su un controllore CNC può fermare lavorazioni di precisione, causando perdite di prodotto e tempi di fermo non trascurabili.

• Mitsubishi Electric Multiple FA Products (Update D) comprende una serie di moduli I/O remoti CC‑Link IE TSN vulnerabili a CVE‑2025‑3511: l'invio di un pacchetto UDP appositamente costruito può provocare timeout, errori di comunicazione o un vero e proprio DoS (Mitsubishi Electric Multiple FA Products (Update D). Anche se il CVSS non è esplicitamente riportato nell'estratto, la descrizione indica un impatto significativo sulla disponibilità del modulo.

Per questi tipi di vulnerabilità, la difesa principale consiste nella segmentazione di rete: limitare l'accesso ai protocolli industriali (ad esempio, UDP per CC‑Link) a soli dispositivi fidati tramite firewall e VLAN dedicate. Inoltre, l'adozione di sistemi di rilevamento delle anomalie basati sul traffico di rete può aiutare a identificare tempestivamente tentativi di flooding o di pacchetti malformati.

Lezione dal KEV Catalog: prioritizzare le vulnerabilità notevolmente sfruttate

Parallelamente agli advisory tecnici, il CISA Known Exploited Vulnerabilities (KEV) Catalog continua a essere aggiornato con vulnerabilità che sono state osservate attivamente sfruttate in natura. Gli ultimi bollettini includono, tra gli altri:

• CVE‑2023‑49105 (ownCloud – improper authentication)
• CVE‑2026‑53362 (Linux Kernel – unspecified vulnerability)
• CVE‑2026‑66384 (JFrog Artifactory – improper limitation of a pathname)
• CVE‑2026‑8452 (Citrix NetScaler ADC – improper restriction of operations within a memory buffer)
• CVE‑2026‑60004 (Gitea – code injection)

Queste voci sono state aggiunte sulla base di evidenze di sfruttamento reale e rientrano nelle direttive BOD 26‑04, che impone alle agenzie federali statunitensi di dare priorità alle patch delle vulnerabilità presenti nel KEV Catalog sui sistemi esposti a Internet (CISA Adds Three Known Exploited Vulnerabilities to Catalog) (CISA Adds Six Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog).

Sebbene BOD 26‑04 si applichi direttamente solo alle agenzie governative statunitensi, il principio alla base — gestione del rischio basata sulla prova di sfruttamento attivo — è universalmente valido. Le imprese italiane possono adottare un approccio simile: mantenere un inventario dei propri asset esposti, verificare continuamente se le CVE corrispondenti sono presenti nel KEV Catalog e applicare le patch con la massima urgenza quando il punteggio di rischio (combinazione di esposizione, presenza nel KEV e impatto potenziale) supera una soglia definita.

Implicazioni per le aziende italiane e raccomandazioni pratiche

Le vulnerabilità analizzate condividono alcuni tratti comuni che le organizzazioni italiane dovrebbero tenere presenti nella loro strategia di cybersecurity:

1. Credenziali e hashing: non basta imporre politiche di password complesse; è necessario verificare che gli algoritmi di hashing siano configurati con parametri adeguati (work factor, salt) e che i backup siano sempre cifrati.
2. Autenticazione obbligatoria: ogni interfaccia di gestione (web, API, CLI) deve richiedere autenticazione forte prima di permettere operazioni privilegiate. L'assenza di controlli, come visto negli apparecchi Xiiaozet e Ebyte, è una porta d'ingresso immediata per gli attaccanti.
3. Validazione rigorosa degli input: OS command injection, XXE, buffer overflow e argument injection derivano tutti dalla mancata sanitizzazione dei dati forniti dall'utente. L'adozione di whitelist, l'utilizzo di librerie sicure e l'esecuzione di code review regolari sono contromisure essenziali.
4. Gestione delle patch e del ciclo di vita: molti dei dispositivi colpiti (ad esempio, OTTO Fleet Manager, Mitsubishi CNC, Fuel‑Boss) hanno versioni più recenti che risolvono le falle. Stabilire un processo di monitoraggio delle advisory dei fornitori e di applicazione tempestiva degli aggiornamenti riduce drasticamente la superficie di attacco.
5. Segmentazione e monitoraggio di rete: isolare i sistemi OT da reti aziendali e Internet, limitare i protocolli non necessari (es. UDP per moduli I/O remoti) e impiegare sistemi di IDS/IPS per rilevare traffico anomalo sono misure di difesa in profondità.
6. Allineamento al KEV Catalog: integrare il KEV Catalog nel proprio ciclo di vulnerability management permette di concentrare le risorse sulle falle realmente sfruttate, migliorando il rapporto tra sforzo investito e rischio mitigato.

In conclusione, sebbene le narrazioni sulle minacce basate su intelligenza artificiale e supply chain globale catturino l'attenzione, la realtà quotidiana della sicurezza industriale rimane radicata in fondamentali spesso trascurati: password ben hashate, autenticazione presente, input validati e sistemi aggiornati. Le aziende italiane che riescono a trasformare questi principi in routine operative saranno in grado di ridurre significativamente la probabilità di compromissione, proteggendo sia la continuità operativa che la proprietà intellettuale.