Il crollo del confine IT/OT: vulnerabilità di rete, accesso remoto e SCADA creano una kill chain unificata

La settimana appena trascorsa ha consegnato agli analisti un quadro che dovrebbe far suonare ogni campanello d'allarme nelle sale controllo e nei SOC italiani. Non si tratta di un singolo incidente, né di una campagna mirata a un settore specifico. È l'evidenza plastica di una realtà che la letteratura tecnica descrive da anni ma che l'operatività fatica a interiorizzare: il perimetro tra IT e OT è collassato, e le vulnerabilità che lo attraversano non rispettano più alcuna classificazione settoriale.

Tra il 13 e il 14 ottobre, CISA ha aggiunto sei nuove voci al catalogo KEV (Known Exploited Vulnerabilities): quattro in un solo giorno (CISA Adds Four Known Exploited Vulnerabilities to Catalog) e due il giorno precedente (CISA Adds Two Known Exploited Vulnerabilities to Catalog). La lista si legge come un inventario dell'infrastruttura critica moderna: Palo Alto Networks PAN-OS (code injection), Cisco Secure Email Gateway (path traversal), AhsayCBS (due falle: authentication bypass e command injection), Microsoft Windows (command injection) e Ivanti Connect Secure (authentication bypass zero-day). Sono asset che siedono esattamente sulla linea di confine: firewall perimetrali, gateway email, soluzioni di backup, endpoint, VPN SSL.

L'accesso remoto come nuovo fronte: Ivanti, Palo Alto, Cisco

Il caso Ivanti Connect Secure è emblematico. CISA ha emesso un alert dedicato il 13 ottobre (CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure): CVE-2026-104935, authentication bypass che consente l'esecuzione remota di codice arbitrario senza autenticazione. Gli attori della minaccia lo stanno sfruttando per furto di credenziali ed esfiltrazione dati. Il dettaglio più inquietante sta nelle note di mitigazione: lo strumento Integrity Checker di Ivanti potrebbe non rilevare lo sfruttamento perché i comandi dell'attaccante vengono eseguiti in memoria. Chi indaga sulla compromissione deve ricorrere ad analisi forense di rete e memoria. La versione 22.8 raggiunge end-of-life il 31 gennaio 2027: una scadenza che costringe a migrazioni complesse proprio mentre la superficie d'attacco è calda.

Palo Alto e Cisco completano il quadro del perimetro IT tradizionale sotto assalto. La code injection in PAN-OS (CVE-2026-0322) e il path traversal nel Secure Email Gateway (CVE-2026-76519) sono vettori classici — ma il fatto che finiscano nello stesso bollettino KEV di una zero-day VPN e di una falla Windows segnala che gli attaccanti non scelgono: colpiscono tutto ciò che è esposto, contemporaneamente. La direttiva BOD 26-04 impone alle agenzie federali USA la remediation prioritaria su asset pubblicamente esposti che concedono controllo totale post-exploitation; CISA raccomanda lo stesso approccio risk-based a tutte le organizzazioni (CISA Adds Four Known Exploited Vulnerabilities to Catalog).

La dorsale industriale sotto tiro: switch, gateway, SCADA

Mentre le advisory ICS di CISA della settimana dell'8 ottobre raccontano la stessa storia dal lato OT. Red Lion Controls N-Tron 700 Series — switch industriali diffusi in Commercial Facilities, Communications, Critical Manufacturing, IT — presentano sette vulnerabilità (Red Lion Controls N-Tron 700 Series): credenziali hardcoded di default che persistono anche dopo la creazione di account admin, autenticazione bypassabile via canali alternativi, download di codice senza controllo di integrità, password memorizzate in formato recuperabile. Un attore malintenzionato può ottenere accesso amministrativo, visualizzare/modificare/caricare configurazioni, e persino automatizzare riavvii continui del dispositivo. Il vettore? La rete stessa, l'infrastruttura di commutazione che dovrebbe segmentare e proteggere.

Satel Netco Design, software per progettazione reti radio in ambito Communications, porta con sé stored XSS, ReDoS (regular expression complexity) e path traversal (Satel Netco Design). Un operatore autenticato con privilegi Network Operator può iniettare script eseguiti nel browser di altri utenti; un Viewer può consumare risorse eccessive tramite regex malevoli; un attaccante autenticato può enumerare, creare, modificare file ed eseguire codice arbitrario. La patch richiede l'aggiornamento a v2.1.7.

Inductive Automation Ignition, piattaforma SCADA/MES pervasiva in Critical Manufacturing, Energy e IT, soffre di una privilege escalation (CVSS 8.8) nel modulo Perspective: un utente autenticato con accesso a un progetto Vision può riutilizzare il proprio session ID per ottenere privilegi Designer ed eseguire codice arbitrario nel contesto del processo Ignition Gateway (Inductive Automation Ignition Software). Le versioni affette spaziano dalla 8.1.0 alla 8.1.54 e dalla 8.3.0 alla 8.3.8; le patch (8.1.55 e 8.3.9) risalgono rispettivamente a settembre 2026 e agosto 2025 — un gap temporale che lascia una finestra aperta.

Il tallone d'Achille open source nel settore energetico

Il caso più critico per gravità e settore è Grid Protection Alliance openPDC e openHistorian: cinque vulnerabilità, CVSS 9.8, settore Energy, deployment worldwide (Grid Protection Alliance openPDC and openHistorian). La falla più severa (CVE-2026-100730) risiede in una console di servizio che deserializza strutture dati lato client: su sistemi senza Windows Authentication è raggiungibile da attaccante non autenticato in rete, permettendo esecuzione di codice remoto sotto i privilegi dell'account di servizio. Altre falle includono missing authentication for critical function, SSRF, hardcoded credentials, unsafe reflection. Le versioni corrette (openPDC 2.9.482+, openHistorian 2.8.585+) aggiungono validazione nella logica di serializzazione. Ma openPDC/openHistorian sono componenti open source ampiamente integrati in sistemi di monitoraggio synchrophasor (PMU) e storicizzazione dati di rete elettrica — software che opera nel cuore della visibilità operativa della grid.

A completare il quadro, le telecamere Swann Communications SWIFI-SE2KIC (firmware ≤2.0.22) espongono feed video live senza autenticazione sulla rete locale (Swann Communications SWIFI-SE2KIC). CVSS 6.2, ma il settore è Commercial Facilities worldwide: un promemoria che dispositivi "minori" connessi alla rete OT/IT diventano occhi per l'attaccante.

La lezione degli attori statali: automazione + manuale, vecchie e nuove falle

L'advisory AA26-281A dell'8 ottobre (Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data) descrive attori collegati al governo cinese, abilitati da Integrity Technology Group, che combinano scanner automatizzati, botnet su larga scala e tecniche hands-on per rubare dati sensibili da organizzazioni in tutto il mondo, inclusi settori infrastrutture critiche USA. L'elenco delle CVE sfruttate spazia dal 2014 al 2023: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199, CVE-2023-22894. Non sono zero-day: sono falle note, patchate da anni, che persistono in asset esposti. La raccomandazione CISA è chirurgica: disabilitare servizi/porte inutili, sanificare input web (anti-XSS), imporre MFA ovunque, applicare patch tempestivamente.

Implicazioni per l'Italia: convergenza, visibilità, priorizzazione

Per le aziende italiane che gestiscono infrastrutture critiche — energia, trasporti, manifatturiero, telecomunicazioni, sanità — il messaggio è univoco: non esiste più una "rete OT" separata da difendere con logiche diverse. La VPN Ivanti che dà accesso ai manutentori remoti, il firewall Palo Alto che segmenta la DMZ, lo switch Red Lion che collega i PLC in fabbrica, il server Ignition che supervisiona la linea di produzione, il concentratore PMU openPDC che alimenta il monitoraggio a vasta area della rete elettrica: sono anelli della stessa catena. Un authentication bypass nella VPN (Ivanti) concede punto d'appoggio IT; da lì, movimenti laterali verso switch industriali (Red Lion) o server SCADA (Ignition) sono facilitati da credenziali deboli, hardcoded credentials, missing authentication su interfacce di gestione. Il path traversal nel gateway email (Cisco) o la code injection nel firewall (Palo Alto) sono porte d'ingresso alternative. La deserializzazione insicura in openPDC apre la via al codice arbitrario nel dominio Energy.

La direttiva NIS2, recepita in Italia con D.Lgs. 138/2024, impone gestione del rischio supply chain, incident reporting, misure tecniche/organizzative proporzionate. Il catalogo KEV CISA — pur essendo strumento USA — funziona da bussola globale di prioritizzazione basata su evidenza di sfruttamento attivo. Le sei CVE aggiunte in 48 ore (di cui una zero-day VPN, una code injection firewall, una command injection Windows, due AhsayCBS, una auth bypass Ivanti) più le advisory ICS su switch, SCADA, software energia, tool radio, telecamere, compongono un piano di patching immediato che nessun responsabile sicurezza può ignorare.

Due accorgimenti operativi emergono dai dettagli tecnici:

1. L'analisi forense post-patch è obbligatoria per Ivanti: factory reset + rebuild + upgrade, perché l'integrity checker non vede lo sfruttamento in memoria (CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure). Chi ha esposto Connect Secure su internet deve assumere compromissione e agire di conseguenza.
2. La segmentazione di rete va verificata, non data per scontata: se uno switch industriale (Red Lion) ha credenziali di default persistenti e riavviabile tramite script, la segmentazione VLAN/zone di sicurezza può essere aggirata o negata (DoS). La mitigazione CISA — "keep behind secured router/firewall, avoid port forwarding/DMZ/public IP" — vale per ogni dispositivo di rete, non solo per le telecamere Swann (Swann Communications SWIFI-SE2KIC).

La ricerca accademica conferma che la complessità architetturale amplifica il rischio. Il paper DiffTry (arXiv:2610.20567) dimostra come nei sistemi a microservizi — sempre più usati anche in contesti OT per modularità e scalabilità — i meccanismi di retry standard durante overload si trasformino in retry storms che degradano prestazioni e costi, e possono essere armati come vettori DoS (Prioritizing Microservice Requests via Retries). La soluzione proposta (DiffTry: differential retries stateless, distribuita, senza coordinamento) è un esempio di come la resilienza vada progettata a livello di architettura, non delegata a patch puntuali.

Sul fronte crittografico, il lavoro su quantum-aware key rank (Quantum-Aware Key Rank for Side-Channel Attacks evaluation) mostra che un avversario con accesso classico a trace side-channel e capacità quantistiche limitate (depth-bounded Grover) gode di vantaggio quadratico solo fino a rank ~2^58.6 (con AES-128 oracle ottimale e budget NIST MAXDEPTH 2^40). Oltre, il vantaggio collassa a fattore costante. Per l'Italia, che sta investendo in post-quantum cryptography per infrastrutture critiche (PNRR, fondi EU), il messaggio è: la migrazione PQC non elimina la necessità di protezione side-channel e gestione chiavi robusta oggi.

Infine, Tulva (Tulva: Practical Asynchronous Threshold FHE) — threshold FHE asincrono compatibile con qualsiasi schema base, 3.7ms per partial decryption (16-of-512 threshold) — apre scenari di secure multi-party computation per smart contract Ethereum/EVM privacy-preserving. Non è ancora pronto per il deployment in OT, ma segnala la direzione: crittografia avanzata che abilita calcolo su dati sensibili senza esporli, rilevante per scenari di condivisione dati inter-utility o supply chain energetica.

La settimana del 13-14 ottobre 2026 non è un'eccezione. È la nuova normalità: vulnerabilità critiche su ogni strato della pila — network, remote access, email, backup, switch industriali, SCADA, software energetico open source, IoT — sfruttate attivamente, simultaneamente, da attori che mescolano automazione industriale e tradecraft manuale. La risposta non sta nel rincorrere ogni CVE, ma nel riconoscere la convergenza IT/OT come fatto compiuto, adottare prioritizzazione risk-based allineata a KEV, imporre MFA e zero-trust su ogni accesso remoto, segmentare con controlli verificabili (non solo VLAN), e trattare ogni dispositivo connesso — dallo switch al termostato, dal firewall al concentratore PMU — come asset che richiede gestione delle vulnerabilità, monitoraggio delle anomalie, e piano di risposta forense pronto.

Il confine è crollato. La difesa deve essere unificata.