Kernel Linux nel mirino: il dilemma del patch management tra IT e infrastrutture critiche italiane

L'escalation silenziosa: il kernel Linux entra nel catalogo KEV con exploit attivi

In appena quarantotto ore, tra il 16 e il 18 settembre 2026, CISA ha aggiunto tre distinte vulnerabilità del kernel Linux al proprio Known Exploited Vulnerabilities (KEV) Catalog, il registro che traccia le falle con evidenza concreta di sfruttamento attivo (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog). Non si tratta di prove di concetto teoriche: CVE-2025-39964 (race condition), CVE-2026-53266 (out-of-bounds write) e CVE-2025-39682 (improper check for unusual conditions) sono già armi nelle mani di attori ostili. La direttiva operativa vincolante BOD 26-04 impone alle agenzie federali statunitensi l'applicazione prioritaria delle patch per queste falle su asset esposti pubblicamente, con verifiche post-patch per escludere compromissioni preesistenti (CISA Adds Two Known Exploited Vulnerabilities to Catalog).

Il messaggio è chiaro: il kernel Linux, cuore pulsante di server cloud, container, edge gateway e dispositivi OT, è diventato il vettore preferenziale per l'escalation silenziosa dei privilegi. A differenza delle vulnerabilità applicative, un bug nel kernel non si mitiga con un WAF o una regola di firewall: richiede il riavvio del sistema, finestre di manutenzione, test di regressione su carichi di lavoro critici. Per un data center cloud è una routine gestibile; per un impianto di trattamento acque o una sottostazione elettrica, è un'operazione che può richiedere settimane di pianificazione e autorizzazioni multiple.

ABB Edgenius e il caso emblematico dell'edge computing industriale

L'advisory ICSA-26-260-06 su ABB Ability Edgenius illustra perfettamente questo paradosso (ABB Ability Edgenius). Il gateway industriale bE100, distribuito nei settori Critical Manufacturing, Energy, Water and Wastewater, Chemical in tutto il mondo, gira su un kernel Linux vulnerabile a CVE-2026-31431: un difetto nel sottosistema crittografico che permette a un utente locale autenticato — o a un carico di lavoro container compromesso — di ottenere privilegi di root. La versione interessata (>=3.2.0.0 | <3.2.4.1) copre praticamente tutte le release dal 2017 in poi. La correzione esiste (Edgenius 3.2.4.1), ma applicarla significa aggiornare il firmware del gateway, validare la compatibilità con i PLC a valle, coordinare lo spegnimento controllato dei processi industriali.

Non è un caso isolato. Lo stesso giorno, CISA ha pubblicato advisory per Mitsubishi Electric (due distinti: CC-Link IE TSN con CVE-2026-13584 per DoS via pacchetti appositamente costruiti (Mitsubishi Electric CC-Link IE TSN Communication Protocol (Update A)), e GX Works3 con CVE-2026-15688 per bypass dell'autenticazione che permette manipolazione dei programmi di controllo (Mitsubishi Electric GX Works3 and Motion Control Settings)), Schneider Electric (tre advisory: PowerChute Serial Shutdown CVE-2026-13348 (Schneider Electric PowerChute Serial Shutdown), NetBotz 5 con iniezione di comandi OS e SQL injection (Schneider Electric NetBotz 5 750/755), Modicon M340 per DoS (Schneider Electric Modicon M340 Controller and Communication Modules)), Hitachi Energy FACTS Control Platform con cinque CVE tra SQL injection, path traversal e bypass dell'autenticazione (Hitachi Energy FACTS Control Platform (FCP)), e persino Bransys ELD per il settore trasporti con credenziali MQTT incorporate nel codice e trasmissione in chiaro (Bransys ELD).

Oltre il kernel: il fronte dimenticato del software di gestione OT

C'è un filo rosso che lega queste advisory: il software di gestione, monitoraggio e ingegneria — spesso installato su workstation Windows o Linux in rete IT, ma con accesso diretto agli asset OT — è il nuovo vettore di accesso iniziale preferito. Mitsubishi GX Works3 è l'ambiente di sviluppo per PLC MELSEC; un bypass dell'autenticazione (CVSS 8.8) permette a un attaccante locale di modificare, distruggere o esfiltrare i programmi di controllo (Mitsubishi Electric GX Works3 and Motion Control Settings). Schneider PowerChute, software per la gestione dello spegnimento ordinato di UPS su server e workstation, soffre di restrizione impropria di tentativi di autenticazione eccessivi (CVE-2026-13348) (Schneider Electric PowerChute Serial Shutdown). NetBotz, monitor ambientali per data center e armadi di rete, espone iniezione di comandi OS e SQL injection durante il ripristino di backup malevoli (Schneider Electric NetBotz 5 750/755).

Questi componenti — definiti "shadow OT" da alcuni analisti — vivono in una zona grigia: non sono PLC, non sono HMI, non sono storici, ma ne possiedono le credenziali, le chiavi crittografiche, la topologia di rete. Spesso gestiti dai team IT con policy di patching standard, ignorano i cicli di vita decennali degli impianti industriali. Il risultato: un server Linux non patchato da 18 mesi che gira PowerChute 1.5 in una sala server di uno stabilimento chimico, o una workstation ingegneristica con GX Works3 non aggiornata perché "il progetto è in commissioning".

A completare il quadro, il 16 settembre CISA ha aggiunto al KEV CVE-2026-76460 su Cisco Identity Services Engine (uso improprio di API privilegiate) e CVE-2026-87886 su Acronis Backup (permessi predefiniti errati) (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Due pilastri dell'infrastruttura di identità e backup — servizi trasversali IT/OT — attivamente sfruttati.

Implicazioni per l'Italia: NIS2, continuità operativa e la nuova direttiva BOD 26-04 come modello

Per le imprese italiane soggette a NIS2 (entità essenziali e importanti nei settori energia, trasporti, bancario, salute, acqua, spazio, amministrazioni pubbliche, manifatturiero critico), questo scenario impone tre scelte strategiche immediate.

**Prima: mappare la superficie del kernel esposta. Ogni gateway edge (ABB Edgenius, ma anche Siemens SIMATIC Edge, Advantech UNO, Moxa UC series), ogni hypervisor che ospita VM OT, ogni container runtime in ambiente industriale deve essere inventariato con versione esatta del kernel. Le tre CVE nel KEV coprono kernel diffusi nelle principali distribuzioni (RHEL, Ubuntu, Debian, SUSE, Oracle Linux) e nei kernel LTS** usati dai vendor OT. Non basta sapere "gira Linux"; serve il uname -r preciso e lo stato di backport delle patch.

**Seconda: estendere la gestione delle vulnerabilità basata sul rischio al software di gestione OT. La BOD 26-04 introduce un principio che l'Italia dovrebbe fare proprio: dare priorità alle KEV su asset esposti che concedono controllo totale post-sfruttamento**, rimandando le falle a basso rischio (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Applicato al contesto OT italiano, significa: applicare subito le patch per il bypass dell'autenticazione su GX Works3 (CVSS 8.8, controllo totale sui programmi PLC) (Mitsubishi Electric GX Works3 and Motion Control Settings), per l'iniezione di comandi OS su NetBotz (accesso remoto a monitor ambientali in sala server) (Schneider Electric NetBotz 5 750/755), per le credenziali incorporate nel codice su Bransys ELD (accesso a telemetria flotta trasporti) (Bransys ELD). Le falle DoS su Mitsubishi CC-Link o Modicon M340, pur gravi, non concedono persistenza e controllo — vanno in coda di patching pianificata.

**Terza: adottare il cyber deception (inganno informatico) come compensazione dove il patching è impossibile.** La guida CISA del 16 settembre sulle esche informatiche (cyber decoys) (Using Cyber Decoys to Strengthen Detection and Response) non è teoria: tripwire su credenziali MQTT finte per rilevare chi scansiona il broker Bransys, honeytoken su file di progetto GX Works3 fasulli, breadcrumb verso NetBotz honeypot in VLAN isolata. In ambienti OT dove il riavvio per patch kernel richiede autorizzazione del responsabile di stabilimento e finestra di 4 ore nel weekend, l'inganno guadagna tempo per il rilevamento senza impattare la continuità. Il framework MITRE Engage™ e ATT&CK® citato da CISA offre playbook concreti per livelli di maturità diversi — dal semplice canary token su condivisione di rete al PLC esca che emula un Modicon M340 vulnerabile.

L'Italia ha un patrimonio di infrastrutture critiche invidiabile — da Terna a Snam, da Ferrovie dello Stato ai gestori idrici integrati — ma anche una frammentazione di vendor, versioni, contratti di manutenzione che rende il patch management un incubo operativo. La lezione degli advisory CISA di metà settembre 2026 è che il confine tra vulnerabilità IT e rischio OT è collassato nel kernel Linux e nel software di gestione. Chi continua a trattarli come domini separati, con team, strumenti, SLA e budget separati, lascerà la porta aperta a chi sfrutta CVE-2025-39964, CVE-2026-31431 o CVE-2026-15688 per passare da un container compromesso al controllo di un impianto fisico. La BOD 26-04 non è legge italiana, ma il suo approccio — evidenza di sfruttamento, rischio di controllo totale, priorità operativa — è l'unico linguaggio che allinea CISO, responsabile di stabilimento e direttore operativo attorno a una stessa tabella di marcia.