Il Kernel Linux: Nuovo Campo di Battaglia per l'Escalation Silenziosa degli Exploit dal Cloud all'OT

Nella settimana che si chiude oggi, 18 settembre 2026, la cybersecurity industriale ha ricevuto un segnale d'allarme che non può essere ignorato. Nella giornata odierna, con due distinti aggiornamenti ravvicinati, la Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto tre distinte vulnerabilità del kernel Linux al proprio Known Exploited Vulnerabilities (KEV) Catalog (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog). Contestualmente, un advisory ICS pubblicato il 17 settembre ha rivelato che una falla nel sottosistema crittografico del kernel — presente nelle distribuzioni principali a partire dal 2017 — espone i gateway ABB Ability Edgenius utilizzati nei settori manifatturiero, energetico e idrico (ABB Ability Edgenius). Non è una coincidenza: è la manifestazione tangibile di una tendenza che vede il kernel Linux trasformarsi nel vettore privilegiato per compromettere sia i carichi di lavoro containerizzati nel cloud, sia i sistemi di controllo industriale sul campo.

La direttiva operativa vincolante BOD 26-04, che impone alle agenzie federali statunitensi la rimozione prioritaria delle vulnerabilità KEV su asset esposti pubblicamente che concedono il controllo totale post-sfruttamento (CISA Adds Two Known Exploited Vulnerabilities to Catalog), riceve così una validazione tecnica immediata: le tre CVE kernel appena catalogate (CVE-2025-39964, CVE-2026-53266, CVE-2025-39682) sono tutte classificate come vettori frequenti per attori malevoli che mirano al "total control of the asset". Ma la portata del problema supera il perimetro federale statunitense. L'ecosistema industriale italiano, fortemente dipendente da vendor come ABB, Mitsubishi Electric, Schneider Electric e Hitachi Energy — tutti presenti nell'ondata di advisory ICS del 17 settembre — si trova esposto a una superficie d'attacco che unisce la pervasività del kernel Linux alla difficoltà operativa di patchare sistemi OT in produzione continua.

La Tempesta Perfetta sul Kernel: Tre CVE in KEV in 48 Ore

Il 16 settembre CISA ha inserito CVE-2026-76460 (Cisco Identity Services Engine) e CVE-2026-87886 (Acronis Backup) (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Due giorni dopo, lo stesso catalogo si è arricchito di tre vulnerabilità del kernel Linux in due distinti aggiornamenti: CVE-2025-39964 (race condition), CVE-2026-53266 (out-of-bounds write) e CVE-2025-39682 (improper check for unusual conditions) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog). Tutte e tre condividono una caratteristica critica: permettono a un attaccante che abbia già ottenuto esecuzione di codice locale — ad esempio attraverso un container compromesso o un servizio esposto — di elevare i privilegi fino a root, ottenendo il controllo completo del sistema host.

La scelta di CISA di catalogarle in successione ravvicinata non è casuale. Le race condition e le scritture out-of-bounds nel kernel sono tra le classi di vulnerabilità più difficili da mitigare tramite controlli perimetrali: risiedono nel cuore del sistema operativo, sotto ogni strato di applicazione, container runtime o hypervisor. Il Binding Operational Directive 26-04 le classifica esplicitamente come vulnerabilità che "grant total control of the asset post-exploitation" su asset esposti pubblicamente (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Per le imprese italiane che espongono servizi Linux su internet — server web, VPN, gateway IoT, nodi Kubernetes — il messaggio è inequivocabile: il kernel è diventato la nuova frontiera dell'escalation dei privilegi, e il tempo di patching si misura in ore, non in settimane.

Quando il Cloud Incontra l'OT: Il Caso ABB Ability Edgenius

L'advisory ICSA-26-260-06 su ABB Ability Edgenius fornisce la prova concreta di come queste vulnerabilità kernel trascendano il confine tra IT e OT (ABB Ability Edgenius). La CVE-2026-31431, denominata "Copy Fail", origina nel sottosistema crittografico del kernel Linux e affetta i kernel utilizzati dalla maggior parte delle principali distribuzioni rilasciate a partire dal 2017. Il gateway ABB Ability Edgenius (modello bE100), versione 3.2.0.0 fino a 3.2.4.1 esclusa, incorpora un kernel vulnerabile. Un utente autenticato localmente o un carico di lavoro containerizzato compromesso può sfruttare la falla per ottenere privilegi root e "effectively gain complete control of the system".

Due elementi rendono questo caso emblematico per l'industria italiana. Primo: la persistenza temporale. Un difetto introdotto nel 2017 e ancora sfruttabile nel 2026 su gateway industriali appena patchati (la versione 3.2.4.1 risolve il problema) dimostra quanto sia lungo il ciclo di vita del software embedded in OT. Secondo: l'architettura containerizzata. L'advisory ABB nota esplicitamente che "in shared, containerized, or multi-tenant environments this may increase the security risk". Le moderne piattaforme edge industriali — incluse quelle basate su Kubernetes leggero come K3s o MicroK8s — eseguono carichi di lavoro containerizzati accanto a funzioni di controllo critiche. Una falla kernel che permette l'escape dal container (container escape) trasforma un compromesso di un'applicazione di monitoraggio in un takeover del gateway che governa processi fisici: turbine, pompe, linee di assemblaggio.

Il punteggio CVSS 7.8 (HIGH) assegnato dal vendor (ABB Ability Edgenius) riflette la gravità: vettore locale, bassa complessità, nessuna interazione utente, impatto alto su riservatezza, integrità e disponibilità. Per un impianto idrico o energetico italiano che utilizza questi gateway per la telemetria e il controllo remoto, la finestra di esposizione tra la divulgazione pubblica e l'applicazione della patch in finestra di manutenzione programmata rappresenta un rischio operativo concreto.

L'Ecosistema Industriale Sotto Assedio: Oltre il Kernel

L'ondata di advisory ICS pubblicati il 17 settembre da CISA disegna un quadro sistemico: nove vendor, dodici advisory, vulnerabilità che spaziano dall'autenticazione bypass all'iniezione di comandi OS, con punteggi CVSS fino a 9.9 (Mitsubishi Electric CC-Link IE TSN Communication Protocol (Update A)) (Schneider Electric PowerChute Serial Shutdown) (Mitsubishi Electric GX Works3 and Motion Control Settings) (Hitachi Energy FACTS Control Platform (FCP)) (Schneider Electric NetBotz 5 750/755) (Schneider Electric Modicon M340 Controller and Communication Modules) (Bransys ELD).

Emergono pattern ricorrenti che amplificano il rischio kernel:

• Authentication Bypass come vettore iniziale: Mitsubishi Electric GX Works3 (CVSS 8.8) permette a un attaccante locale di autenticarsi con password non valida modificando l'eseguibile in memoria (Mitsubishi Electric GX Works3 and Motion Control Settings). Hitachi Energy FCP (CVSS 9.9) include authentication bypass by capture-replay e missing authentication for critical function (Hitachi Energy FACTS Control Platform (FCP)). Una volta ottenuto l'accesso locale, le vulnerabilità kernel diventano l'arma per l'escalation.
• Injection flaws su dispositivi di monitoraggio: Schneider Electric NetBotz 5 (CVSS 6.4) soffre di OS command injection (CVE-2026-13336) e SQL injection durante il ripristino di backup (Schneider Electric NetBotz 5 750/755). Questi sensori ambientali e di sicurezza fisica, spesso deployati in rete OT con segmentazione debole, diventano pivot per raggiungere il kernel dell'host sottostante.
• Credenziali hardcoded e trasmissione in chiaro: Bransys ELD, usato nel settore trasporti USA, espone credenziali MQTT hardcoded e dati in cleartext (Bransys ELD). Sebbene geograficamente limitato, il pattern è universale: device edge con segreti statici che, se compromessi, offrono un punto d'appoggio (foothold) per exploit kernel locali.
• Legacy long-life: Hitachi Energy FCP elenca versioni vulnerabili dal 3.4.0 (anno 2020) fino al 4.1.1, con cinque CVE distinte (Hitachi Energy FACTS Control Platform (FCP)). Schneider Electric Modicon M340 richiede firmware prior to SV3.60 per alcuni moduli (Schneider Electric Modicon M340 Controller and Communication Modules). La longevità dei sistemi OT — 15-20 anni — garantisce che kernel vecchi di un decennio rimangano in produzione.

Implicazioni per l'Industria Italiana: La Sfida della Visibilità e del Patching

Il tessuto industriale italiano — forte nel manifatturiero avanzato (Macchinari, Automotive, Packaging), nell'energia (Terna, Snam, Enel, multiutility locali), nel settore idrico e chimico — è un utilizzatore intensivo delle tecnologie colpite. ABB, Mitsubishi Electric, Schneider Electric, Hitachi Energy sono vendor standard in migliaia di impianti. La convergenza tra l'ondata di exploit kernel nel KEV e la divulgazione simultanea di vulnerabilità nei principali sistemi di controllo, HMI, gateway edge e sensori di campo crea una tempesta perfetta per i CISO e i responsabili OT italiani.

Tre sfide operative emergono con urgenza:

1. Inventario kernel-aware: La maggior parte dei CMDB (Configuration Management Database) aziendali traccia versione firmware e patch level dell'applicazione, ma non la versione esatta del kernel Linux sottostante su gateway, edge server, hypervisor OT, nodi Kubernetes edge. Senza questa visibilità, è impossibile sapere se CVE-2025-39964, CVE-2026-53266 o CVE-2025-39682 affettano un asset specifico. L'advisory ABB insegna: la versione del prodotto (Edgenius 3.2.4.1) maschera la dipendenza dal kernel di sistema.
2. Patching coordinato IT/OT per container escape: L'adozione crescente di container runtime in OT (per analytics edge, AI inference, data historian moderni) espande la superficie di attacco locale. Un container compromesso su un nodo edge Kubernetes — magari attraverso una vulnerabilità applicativa non patchata — può sfruttare una race condition kernel per uscire e prendere il controllo dell'host che gestisce anche PLC safety-critical. Le finestre di manutenzione OT tradizionali (mensili/trimestrali) sono incompatibili con la cadenza di sfruttamento attuale del catalogo KEV. Serve una strategia di live patching del kernel (es. kpatch, KGraft, Canonical Livepatch) validata per ambienti OT, affiancata da micro-segmentazione rigorosa tra namespace container e funzioni di controllo.
3. Threat hunting su exploit kernel fileless e tecniche living-off-the-land: Gli exploit kernel moderni (es. Dirty Pipe, StackRot, le tre CVE KEV di settembre) lasciano tracce minimali nei log standard. Non generano traffico di rete anomalo, non scrivono file su disco, operano interamente in memoria. Le regole SIEM basate su signature di malware falliscono. Le imprese italiane devono investire in eBPF-based runtime security (Falco, Tetragon, Cilium) che monitorano syscall anomale, modifiche alle tabelle di sistema, escalation di capability — indicatori comportamentali di exploit kernel — indipendentemente dalla presenza di una CVE nota.

La lezione della settimana è chiara: il kernel Linux è diventato il punto di convergenza universale del rischio cyber industriale. Non è più sufficiente patchare l'applicazione HMI o il firmware del PLC. La catena di fornitura del software — dalla distribuzione Linux embedded nel gateway ABB, al container runtime sull'edge server, al kernel host del server SCADA virtualizzato — deve essere gestita come un'unica superficie d'attacco coerente. Per l'industria italiana, che sta accelerando nella transizione 4.0/5.0 con edge computing, digital twin e manutenzione predittiva containerizzata, la visibilità e la mitigazione a livello kernel non sono un'opzione architetturale: sono un requisito di continuità operativa e sicurezza fisica.