Sanità e infrastrutture critiche sotto tiro: vulnerabilità nei sistemi DICOM, HL7 e terminali satellitari

Introduzione

Negli ultimi mesi le autorità di cybersecurity hanno registrato un incremento significativo di exploit diretti a settori tradizionalmente considerati meno esposti, come la sanità e le infrastrutture di comunicazione critica. Gli advisory CISA pubblicati tra il 4 e il 10 settembre 2026 mostrano come vulnerabilità in sistemi DICOM, piattaforme di integrazione HL7 e terminali satellitari vengano già sfruttate in natura, richiedendo una risposta rapida e basata sul rischio. Parallelamente, il Known Exploited Vulnerabilities (KEV) Catalog continua ad arricchirsi di nuove voci, confermando che gli attaccanti privilegiano falle facilmente sfruttabili su asset esposti al pubblico. Per le imprese italiane, comprendere il contesto di queste minacce è fondamentale per orientare le priorità di patch management e di segmentazione della rete.

Vulnerabilità nei sistemi di imaging medico: Orthanc DICOM

L’advisory relativo a Orthanc DICOM Server (Orthanc DICOM Server) segnala la CVE-2026-87020, un overflow intero nella computazione del pitch e della dimensione del buffer che provoca una scrittura fuori dai limiti dell’heap durante la decodifica di immagini PNG o JPEG fornite dall’attaccante. Il risultato è un arresto del processo Orthanc e una condizione di denial‑of‑service (DoS). Le versioni interessate sono tutte quelle antecedenti alla 1.13.0. Il vendor consiglia l’aggiornamento alla versione 1.13.0 o successiva, disponibile sul sito ufficiale di Orthanc, come unica mitigazione efficace. Per le strutture sanitarie italiane che utilizzano Orthanc per la gestione di studi di imaging, l’exploit potrebbe interrompere temporaneamente la disponibilità di referti critici, con conseguenze sulla continuità assistenziale e sulla fiducia dei pazienti.

Rischi nelle piattaforme di integrazione sanitaria: NextGen Healthcare Mirth Connect

NextGen Healthcare Mirth Connect, ampiamente impiegato per lo scambio di messaggi HL7 nei sistemi informativi ospedalieri, presenta diverse falle critiche secondo l’advisory (NextGen Healthcare Mirth Connect). La CVE-2026-82583 consente a un utente autenticato di eseguire comandi SQL arbitrari tramite il Database Connector API, potenzialmente portando alla divulgazione di credenziali di sistemi connessi, scrittura arbitraria di file e condizioni di DoS. Inoltre, la CVE-2026-78224 riguarda la costruzione non sicura di un oggetto TransformerFactory nello step XSLT, aprendo la strada ad attacchi di tipo XML External Entity (XXE). Infine, la CVE-2026-82578 (non descritta nel dettaglio nell’estratto) è associata a ulteriori rischi di esposizione di dati. Le versioni vulnerabili sono tutte quelle pari o inferiori alla v4.7.1; la correzione consiste nell’aggiornare alla v4.7.2 o successiva, scaricabile dal portale clienti di NextGen Healthcare. Per le aziende italiane che gestiscono reti di scambio dati clinici, l’exploit di queste vulnerabilità potrebbe compromettere la riservatezza delle cartelle pazienti e permettere l’inserimento di dati falsi nei sistemi di prenotazione o di refertazione.

Debolezze nelle infrastrutture di produzione critica: AVEVA Pipeline Integrity Monitor

Nel settore della produzione critica, l’advisory su AVEVA Pipeline Integrity Monitor (AVEVA Pipeline Integrity Monitor) riporta quattro CVE correlate:

• CVE-2026-81821 – utilizzo di una chiave crittografica hard‑coded che permette a un attaccante con accesso in lettura ai file di progetto PIMBoards di decifrare e visualizzare informazioni sensibili.
• CVE-2026-81822 – impiego di un algoritmo crittografico considerato debole o rischioso.
• CVE-2026-81823 – mancata autorizzazione su determinate operazioni, aprendo la strada a escalation di privilegi.
• CVE-2026-81824 – cross‑site scripting (XSS) nella generazione di pagine web, consentendo l’esecuzione di script malevoli nel contesto del browser dell’utente.

Le versioni interessate sono quelle pari o inferiori a 2025_SP1_P1_build_7.1.9580.8513. Il vendor suggerisce l’applicazione dell’update di sicurezza “AVEVA Pipeline Integrity Monitor 2025 SP1 P2” e la migrazione dei file di progetto meno recenti; per i file che non possono essere migrati (es. backup o copie temporanee) si consiglia di valutare il rischio di eventuale fuga di password. Per le imprese italiane che operano nel settore dell’energia, della manifattura avanzata o della gestione di pipeline, queste falle potrebbero portare alla divulgazione di parametri di progetto, alla modifica non autorizzata di configurazioni di controllo e, in scenari estremi, alla manipolazione di dati di monitoraggio critici.

Esposizione dei terminali di comunicazione satellitare: ST Engineering iDirect iQ‑Series

L’advisory sui terminali ST Engineering iDirect iQ‑Series (Update A) ST Engineering iDirect iQ‑Series Terminals (Update A) evidenzia diverse vulnerabilità che interessano sia le linee Evolution iQ‑Series che le serie 3315 e 9. La più rilevante, CVE-2026-38059, riguarda l’esposizione senza autenticazione degli endpoint REST /api/identity e /api/. Un attaccante con semplice accesso di rete può recuperare il numero di serie, il Device ID (DID), il Terminal Private Key identifier (TPK), l’indirizzo MAC e la versione esatta del firmware. Il DID e il TPK sono utilizzati per l’autenticazione nella rete satellitare iDirect; la loro conoscenza permette il potenziale spoofing del terminale e la conduzione di ricognizioni di rete. Oltre a questa falla, l’advisory elenca altresì vulnerabilità di tipo Cross‑Site Request Forgery (CSRF), mancata autorizzazione e esposizione di informazioni sensibili a soggetti non autorizzati. Le versioni colpite sono quelle pari o inferiori alla 4.5.2.1. Sebbene l’avviso non specifichi una patch precisa, indica chiaramente che le versioni interessate devono essere verificate e, se necessario, aggiornate alle release più recenti fornite da ST Engineering. Per le organizzazioni italiane che dipendono da collegamenti satellitari per comunicazioni di backup, controllo di infrastrutture remote o operazioni di difesa, la compromissione di questi terminali potrebbe consentire l’intercettazione di telemetria, l’iniezione di comandi malevoli o la perdita di controllo su link critici.

Il ruolo del KEV Catalog e della gestione basata sul rischio

Le azioni di CISA degli ultimi giorni mostrano un flusso costante di nuove entry nel KEV Catalog: il 10 settembre sono state aggiunte le CVE-2026-67277 e CVE-2026-86060 (MikroTik RouterOS) (CISA Adds Two Known Exploited Vulnerabilities to Catalog); il 9 settembre quattro vulnerabilità tra cui quelle di Fortinet, Citrix NetScaler, Chromium V8 e Cisco Firewall Management Center (CISA Adds Four Known Exploited Vulnerabilities to Catalog); l’8 settembre altre quattro, riguardanti Adobe Commerce/Magento, Windows Link Following, Windows Heap‑Based Buffer Overflow e N‑able N‑central (CISA Adds Four Known Exploited Vulnerabilities to Catalog); infine il 4 settembre la CVE-2026-85046 di Chromium V8 Type Confusion (CISA Adds One Known Exploited Vulnerability to Catalog). Questi aggiornamenti riflettono l’attività reale di exploitation e sottolineano l’importanza di un approccio di vulnerability management basato sul rischio, come richiesto dal Binding Operational Directive (BOD) 26-04, che impone alle agenzie federali di dare priorità alle patch delle vulnerabilità presenti nel KEV su asset pubblicamente esposti. Anche se il BOD si applica direttamente solo alle agenzie governative statunitensi, CISA raccomanda a tutte le organizzazioni di adottare la stessa logica: identificare quali delle proprie apparecchiature sono esposte a internet, verificare se corrispondono a CVE presenti nel KEV e applicare le correzioni con la massima urgenza. Per le aziende italiane, questo significa integrare il monitoraggio del KEV nei propri processi di patch management, effettuare scansioni di asset esterni e dare la precedenza agli aggiornamenti dei sistemi DICOM, delle piattaforme di integrazione sanitaria, dei terminali satellitari e dei dispositivi di controllo di produzione, laddove le CVE corrispondenti siano già state sfruttate in natura.

Conclusioni implicite

Le vulnerabilità descritte evidenziano come la superficie di attacco si stia espandendo oltre i tradizionali ambiti OT e IT, toccando settori dove la continuità del servizio è direttamente legata alla sicurezza dei pazienti, all'integrità dei dati di produzione e alla resilienza delle comunicazioni critiche. La risposta efficace richiede una combinazione di tempestivo aggiornamento delle versioni software, verifica dell’esposizione di rete e adozione di un framework di gestione del rischio che si basa sulle indicazioni concrete del KEV Catalog. Solo così le imprese italiane potranno ridurre la probabilità di exploit riusciti e mantenere la fiducia degli stakeholder in un contesto di minacce in continua evoluzione.