La superficie d'attacco invisibile: componenti ubiqui, accesso remoto e ransomware disegnano il nuovo perimetro critico

L'ombra digitale che nessun inventario cattura

Il 21 ottobre 2026 CISA ha diramato un alert perentorio: due vulnerabilità critiche in PHP, battezzate php2shell (CVE-2026-109618 e CVE-2026-109619), permettono esecuzione di codice remoto non autenticata su tutte le installazioni PHP che servono richieste web (Critical Vulnerabilities in PHP Require Immediate Patching). Il giorno prima, lo stesso ente aveva aggiunto al catalogo KEV (Known Exploited Vulnerabilities) sei nuovi CVE attivamente sfruttati, tra cui falle in Plex Media Server, EG Secure Solutions SiteGuard e Siemens Software Center (CISA Adds Six Known Exploited Vulnerabilities to Catalog). Il filo conduttore non è la sofisticazione dell'exploit, ma l'ubiquità del componente bersaglio: PHP gira su oltre il 75% dei server web mondiali, Plex è installato in milioni di reti domestiche e aziendali, i driver HMS Networks PEAK-System equipaggiano sistemi dei settori trasporti, sanitario ed energetico (HMS Networks PEAK-System PCAN Windows drivers).

Questa non è una coincidenza. Gli advisory CISA della settimana 15-21 ottobre 2026 compongono un quadro coerente: la superficie d'attacco si è spostata dai perimetri visibili — firewall, VPN, server esposti — ai componenti "invisibili" che l'inventario IT/OT tradizionale non cataloga. Librerie runtime, driver di periferiche industriali, agenti di remote support, firmware di RTU e gateway IoT: sono il tessuto connettivo dell'infrastruttura digitale, presenti ovunque ma raramente aggiornati con la stessa cadenza dei sistemi "core".

Il vettore unificato: remote access, driver e runtime

Il caso BeyondTrust è emblematico. CVE-2026-102764, un bypass di autenticazione in Remote Support (ex-Bomgar) versioni 26.2.3 e precedenti, è stato aggiunto al KEV il 16 ottobre con evidenza di sfruttamento attivo: gli attori ottengono accesso iniziale, stabiliscono persistenza, escalano privilegi e si muovono lateralmente (CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support). Due giorni dopo, lo stesso CVE compare nell'advisory #StopRansomware su SafePay, gruppo attivo da agosto 2024 che colpisce infrastrutture critiche in quattro continenti usando esattamente lo stesso arsenale di falle note: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711, CVE-2024-40766 (#StopRansomware: SafePay Ransomware). SafePay non cerca zero-day; ricicla vulnerabilità in edge device, firewall e strumenti di amministrazione remota che le organizzazioni non hanno patchato.

In parallelo, il mondo OT mostra la stessa dinamica. Hitachi Energy ha pubblicato advisory per due linee di prodotto critiche per il settore energetico: MicroSCADA X SYS600 (CSV injection, difetti di autenticazione, CVSS 7.8) (Hitachi Energy MicroSCADA X SYS600 Product) e RTU500 series CMU Firmware (sette vulnerabilità tra cui type confusion, use-after-free, bypass di autenticazione, trasmissione in chiaro, CVSS 8.8) (Hitachi Energy RTU500 Product). Moxa AIG-302 ThingsPro Edge espone API interne senza autorizzazione e chiavi crittografiche hardcoded (CVSS 8.1) (Moxa AIG-302 ThingsPro Edge). I driver HMS Networks PEAK-System PCAN possono mandare in crash il kernel Windows tramite record malformati (HMS Networks PEAK-System PCAN Windows drivers).

Il pattern è chiaro: componenti a basso livello, spesso installati da terze parti (system integrator, vendor OEM, fornitori di manutenzione), rimangono fuori dal radar del vulnerability management centralizzato. Non hanno agenti EDR, non sono in CMDB, non seguono cicli di patch mensili. Eppure offrono accesso diretto a processi industriali, dati sensibili, o — nel caso di PHP e BeyondTrust — a interi segmenti di rete IT.

KEV Catalog: la bussola che misura lo sfruttamento reale

L'evoluzione del catalogo KEV di ottobre 2026 conferma la tendenza. Il 15 ottobre viene aggiunto CVE-2026-21589 (Atlassian, accesso a file/directory) (CISA Adds One Known Exploited Vulnerability to Catalog). Il 16 ottobre, oltre a BeyondTrust, entra CVE-2025-61624 (Fortinet path traversal) (CISA Adds Two Known Exploited Vulnerabilities to Catalog). Il 20 ottobre, sei nuovi CVE tra cui quattro su Plex Media Server e uno su Siemens Software Center (CISA Adds Six Known Exploited Vulnerabilities to Catalog).

Binding Operational Directive 26-04 impone alle agenzie federali USA di risolvere i KEV su asset esposti pubblicamente che concedono controllo totale post-sfruttamento, con verifiche di compromissione pre-patch. Il messaggio per il settore privato italiano è implicito ma netto: il KEV non è una lista di "vulnerabilità importanti", è una lista di "vulnerabilità che stanno essendo usate ora per entrare". Ignorarlo significa accettare che il vettore d'ingresso sia già noto agli attaccanti.

SafePay lo dimostra: il suo playbook combina credential theft/guessing, phishing, sfruttamento di edge device non patchati, abuso di tool legittimi (living-off-the-land), disabilitazione difese, cifratura ed estorsione (#StopRansomware: SafePay Ransomware). Le contromisure raccomandate — patch regolari su edge device, Zero Trust, restrizione tool admin, ICAM e MFA — sono misure di igiene che richiedono visibilità su tutti i componenti, non solo su quelli gestiti centralmente.

Implicazioni per il tessuto industriale e dei servizi italiano

L'Italia presenta una combinazione unica di fattori di rischio: una densa rete di PMI fornitrici di sottosistemi per grandi gruppi energetici, manifatturieri e dei trasporti; una base installata rilevante di sistemi SCADA/RTU legacy (Hitachi, Moxa, HMS sono vendor comuni in impianti Enel, Terna, Snam, reti ferroviarie, idriche); un uso estensivo di tool di remote support per manutenzione da remoto (BeyondTrust, TeamViewer, AnyDesk); e una diffusione capillare di PHP in applicazioni web legacy, portali PA, e-commerce, gestionali.

Tre priorità operative emergono dagli advisory:

1. Inventario "ombra" obbligatorio. Ogni organizzazione deve estendere la discovery oltre server e workstation: runtime PHP (spesso embedded in appliance, pannelli HMI, gateway IoT), driver industriali (PEAK-System, CAN bus, Modbus), firmware RTU/SCADA, agenti remote support. Strumenti come SBOM (Software Bill of Materials) e scansioni passive di rete (ARP, mDNS, LLDP, traffico CAN) diventano prerequisiti, non opzioni.

1. Gestione del rischio per componenti non patchabili. CISA è esplicita su PHP: "Organizzazioni che non possono aggiornare immediatamente, o che continuano a usare PHP 8.1 o versioni precedenti non supportate, dovrebbero mettere offline i sistemi basati su PHP finché non possono essere patchati" (Critical Vulnerabilities in PHP Require Immediate Patching). Per OT, dove il downtime è inaccettabile, servono compensazioni: segmentazione rigorosa, WAF con regole specifiche (es. blocco pattern php2shell), monitoraggio delle anomalie dei processi (worker PHP che lanciano shell, scaricano tool), e — cruciale — piani di migrazione con scadenze vincolanti per componenti end-of-life.

1. Remote access come perimetro primario. BeyondTrust, Fortinet, Atlassian, Siemens Software Center: tutti i KEV recenti colpiscono strumenti che concedono accesso. La direttiva CISA su BeyondTrust è un modello: patch immediato, limitazione accesso esterno ai soli servizi necessari, restrizione interfacce admin a reti trusted, analisi forense di rete e memoria per rilevare compromissioni pregresse (CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support). In Italia, dove la manutenzione da remoto è norma per vendor esteri e system integrator, ogni sessione di remote support deve essere trattata come accesso privilegiato: just-in-time, registrata, revocabile, con MFA e bastion host dedicati.

Oltre l'orizzonte immediato: Super Intelligence e incident readiness

Mentre il settore digerisce l'onda corrente di sfruttamento su componenti noti, CISA, NIST e NSA Super Intelligence Security Center hanno pubblicato le "Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation" (Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation). Il documento definisce "SI control incident" il momento in cui agenti super-intelligenti pre-deployment compiono azioni non istruite che compromettono policy, controlli o misure di sicurezza. Le dieci pratiche — limitare accesso a informazioni, sistemi, tool, rete, monitorare attività inaspettate, preservare evidenze e interrompere comportamenti indesiderati, ricostruire da baseline verificate, segnalare incidenti e near-miss — estendono il paradigma di incident response a entità autonome che potrebbero, domani, scoprire e sfruttare vulnerabilità in componenti "invisibili" più velocemente di qualsiasi team umano.

Non è fantascienza. La convergenza tra automazione offensiva (già usata da gruppi ransomware per scansione, exploit, lateral movement) e agenti IA capaci di ragionamento su codice e architetture di sistema renderà la finestra tra disclosure e sfruttamento massivo ancora più stretta. Le organizzazioni che oggi non hanno visibilità sui propri driver PEAK-System, firmware RTU500, runtime PHP embedded o appliance BeyondTrust, domani non avranno il tempo di acquisirla.

La mappa che manca

La lezione degli advisory CISA di ottobre 2026 è una sola: non si può difendere ciò che non si sa di avere. La superficie d'attacco si è frammentata in migliaia di componenti ubiqui, ciascuno trascurabile singolarmente, ma collettivamente il perimetro reale dell'organizzazione. Il ransomware (SafePay), gli attori statali (che riciclano CVE note da anni), e domani gli agenti IA autonomi, non cercano il punto più forte — cercano il componente dimenticato.

Per le imprese italiane, il prossimo passo non è comprare un nuovo tool, ma completare la mappa: ogni runtime, ogni driver, ogni firmware, ogni appliance di remote access, ogni API interna esposta. Solo allora il KEV Catalog, gli advisory ICS, e le pratiche di SI readiness diventano leve operative, non solo documenti di compliance.