Vulnerabilità critiche nei dispositivi OT: lezioni dagli advisory CISA di settembre 2026 per le imprese italiane

Contesto: l’ondata di advisory CISA di settembre 2026

Durante la prima settimana di settembre 2026 il programma di avvisi industriali di CISA ha rilasciato dodici advisory riguardanti prodotti di automazione, controllo e comunicazione utilizzati nei settori manifatturiero, energetico, idrico e chimico. Sebbene le singole falle variano per gravità e vettore di attacco, condividono un denominatore comune: sono il risultato di errori di sviluppo o di configurazione che possono essere sfruttati da un attaccante con accesso di rete locale o remoto. Questo scenario rende evidente quanto sia fondamentale adottare un approccio di gestione del rischio basato su evidenze concrete, come quello promosso dal Known Exploited Vulnerabilities (KEV) di CISA (CISA Adds One Known Exploited Vulnerability to Catalog). Il KEV, infatti, cataloga le vulnerabilità già sfruttate in natura e impone alle organizzazioni – anche quelle non federali – di dare priorità alla loro correzione sugli asset esposti.

Vulnerabilità di tipo memory corruption e buffer overflow nei protocolli industriali

Una delle classi più pericolose identificate negli advisory è lo stack‑based buffer overflow. Il prodotto Pyramid Solutions NetStaX EtherNet/IP Stack, utilizzato in numerosi kit di adattatore e scanner per reti EtherNet/IP, presenta la CVE‑2026-78012 nelle versioni precedenti alla v5.6.1 (Pyramid Solutions NetStaX EtherNet/IP Stack). Un messaggio CIP di classe 3 eccessivamente grande può superare il buffer di ricezione lato applicazione senza generare alcun errore, provocando corruzione della memoria, crash del dispositivo o, potenzialmente, l’esecuzione di codice arbitrario. Il punteggio CVSS v3 di 9.8 riflette l’alto impatto e la bassa complessità di sfruttamento. La mitigazione consiste nell’aggiornare tutti i componenti interessati alla versione v5.6.1 o successiva, applicando le firme di verifica fornite dal produttore.

Un altro esempio di gestione impropria della memoria è presente nell’OPC Foundation OPC UA LocalDiscoveryServer (LDS). Le versioni degli installer precedenti alla 1.04.420 sono affette dalla CVE‑2026-77477, che consente a un attaccante con accesso fisico al console durante l’installazione di prendere il controllo di un terminale ad alto privilegio e eseguire comandi arbitrari (OPC Foundation OPC UA LocalDiscoveryServer (LDS)). Sebbene il vettore richieda presenza locale, la gravità è amplificata dal fatto che l’installer spesso viene eseguito con privilegi di amministratore per configurare dispositivi OT in ambienti di produzione. L’aggiornamento alla versione 1.04.420 o successiva elimina il problema.

Denial‑of‑Service e impatto sulla disponibilità dei moduli di comunicazione

La disponibilità è un pilastro della sicurezza OT, e alcune vulnerabilità mirano precisamente a interromperla. Il modulo Rockwell Automation 1756-ENBT, ponte EtherNet/IP utilizzato nei sistemi ControlLogix, è vulnerabile a una denial‑of‑service tramite l’invio di un pacchetto CIP artefatto (CVE‑2025-10478) (Rockwell Automation 1756-ENBT Module). L’attacco provoca il crash del modulo, che richiede un riavvio completo per tornare operativo. Sebbene il CVSS v3 sia 7.5, l’effetto su linee di produzione critiche può essere significativo, causando fermi non pianificati e perdite di prodotto. La mitigazione consigliata dal produttore prevede la sostituzione con i moduli 1756-EN2T o 1756-EN4TR, oppure l’applicazione di best practice di segmentazione di rete e filtering dei pacchetti CIP non autorizzati.

Cross‑Site Scripting e injection nei dispositivi HMI/SCADA

Le interfacce web dei dispositivi di automazione sono spesso punti di ingresso per attacchi di tipo client‑side. Rockwell Automation ArmorStart LT, un avviatore motore con interfaccia web, presenta due vulnerabilità di stored cross‑site scripting (CVE‑2026-19471 e CVE‑2026-19472) nonché una allocazione di risorse senza limiti o throttling (Rockwell Automation ArmorStart LT). Un attaccante che riesce a inserire script maligni in un campo di input può farli eseguire nel browser di ogni utente che visualizza la pagina compromessa, facilitando il furto di credenziali o l’esecuzione di azioni non autorizzate. Il punteggio CVSS v3 di 7.5 indica una gravità medio‑alta. La correzione è disponibile nel firmware v2.002; le organizzazioni che non possono aggiornare immediatamente devono applicare le linee guida di sicurezza di Rockwell Automation, tra cui la validazione rigorosa dell’input e l’uso di Content Security Policy.

Un vettore di injection diverso ma altrettanto pericoloso è rappresentato dalla CRLF injection nel client VPN di IXON. Le versioni antecedenti alla 1.4.7 non neutralizzano correttamente le sequenze di ritorno carro e nuova riga nei file di configurazione, permettendo a un attaccante di iniettare direttive che vengono eseguite con privilegi di root o SYSTEM (IXON VPN Client). Questo porta a un’esecuzione di codice remoto con privilegi elevati, nonostante il client continui a funzionare apparentemente normale. Il CVSS v3 di 9.6 sottolinea la criticità. La mitigazione consiste nell’aggiornare tutti i client alla versione 1.4.7 o successiva; inoltre, dal 5 agosto 2026, il cloud di IXON rifiuta le connessioni provenienti da versioni inferiori, fornendo un ulteriore livello di difesa.

Credenziali hard‑coded, CSRF e mancata autorizzazione: quando la configurazione è il punto debole

Molte delle falle riscontrate riguardano errori di configurazione predefiniti o la mancata adozione di controlli di autorizzazione adeguati. Tycon Systems TPDIN-Monitor-WEB3, utilizzato per il monitoraggio di dispositivi industriali, presenta nello stesso prodotto tre vulnerabilità distinte: uso di credenziali hard‑coded (CVE‑2026-77847), Cross‑Site Request Forgery (CSRF) (CVE‑2026-82712) e mancata autorizzazione per funzioni critiche (CVE‑2026-82684) (Tycon Systems TPDIN-Monitor-WEB3). Un attaccante che riesce a sfruttare la CSRF può indurre un amministratore autenticato a eseguire azioni non volute, mentre le credenziali hard‑coded permettono l’intercettazione di informazioni sensibili. La mancata autorizzazione apre la strada a chiunque abbia accesso alla rete di modificare impostazioni critiche, resettare il dispositivo o cancellare credenziali. Il punteggio CVSS v3 di 8.8 riflette l’alto impatto combinato. Tycon ha rilasciato il firmware v2.4.2, che risolve tutte e tre le problematiche; le unità già sul campo possono essere aggiornate tramite il file .hex fornito, senza bisogno di versioni intermedie.

Un caso simile si presenta con Tycon Systems TPDIN-Monitor-WEB2 (Update A). Le versioni precedenti alla 2.4.5 soffrono di mancata autenticazione per funzioni critiche (CVE‑2026-61884) e di memorizzazione in chiaro di informazioni sensibili (CVE‑2026-55985) (Tycon Systems TPDIN-Monitor-WEB2 (Update A)). Un dispositivo lasciato senza credenziali di amministratore espone l’interfaccia di gestione a chiunque nella rete, consentendo il controllo totale di relè di potenza, riavvii e modifiche di configurazione di rete. La memorizzazione in chiaro di password e token facilita ulteriormente il furto di credenziali. La correzione consiste nell’installare il firmware 2.4.5, che imposta l’obbligo di definire un nome utente e una password di amministratore prima di attivare l’interfaccia web.

Infine, Rockwell Automation ControlFLASH presenta una mancata autenticazione per una funzione critica (CVE‑2026-12663) che consente a un utente malintenzionato di ottenere scrittura nella cartella di installazione tramite il gruppo “Everyone” e quindi eseguire codice arbitrario con i privilegi dell’utente loggato (Rockwell Automation ControlFLASH). La patch è disponibile nella versione 15.08; come mitigazione immediata, le organizzazioni possono rimuovere i permessi di scrittura per il gruppo “Everyone” dalla cartella di installazione.

Implicazioni per le aziende italiane e best practice di mitigazione

Le vulnerabilità descritte sopra dimostrano che le minacce agli ambienti OT non sono più limitate a malware sofisticati o a campagne di ransomware mirate: errori di sviluppo, configurazioni predefinite inadeguate e gestione inadeguata dei privilegi rappresentano vettori altrettanto pericolosi e spesso più facili da sfruttare. Per le imprese italiane, che operano in settori strategici come la manifattura avanzata, l’energia rinnovabile e la gestione dell’acqua, le conseguenze possono variare dal fermo di linea di produzione alla perdita di proprietà intellettuale, passando per rischi di sicurezza fisica quando gli attacchi riguardano controlli di motori o di sistemi di protezione.

Per affrontare questo scenario, le aziende dovrebbero adottare un modello di gestione del rischio basato su evidenze concrete, integrando il KEV di CISA nei propri processi di vulnerability management. Questo significa:

• Priorizzare le correzioni delle vulnerabilità già sfruttate in natura, indipendentemente dal loro punteggio CVSS teorico, quando gli asset sono esposti a reti non fidate.
• Estendere il monitoraggio oltre le tradizionali patch: verificare la presenza di credenziali hard‑coded, controllare la configurazione di gruppi di privilegi (es. “Everyone”) e validare l’input ricevuto dalle interfacce web.
• Implementare la segmentazione di rete e il filtering dei protocolli industriali (EtherNet/IP, CIP, OPC UA) per limitare l’esposizione di dispositivi critici a segmenti non attendibili.
• Adottare un Secure Development Lifecycle (SDL) per i fornitori di soluzioni OT, richiedendo prove di testing di fuzzing, analisi di codice e revisioni di configurazione prima dell’accettazione di nuovi prodotti.
• Formare il personale operativo sulle tecniche di social engineering specifiche per gli ambienti OT (es. attacchi CSRF tramite e‑mail di phishing che sembrano provenire da sistemi di supervisione interno).

In sintesi, gli advisory CISA di settembre 2026 offrono una finestra preziosa sulle tipologie di difetto che continuano a compromettere la sicurezza delle infrastrutture industriali. Trasformare queste informazioni in azioni concrete – aggiornamenti firmware, revisioni di configurazione, controlli di autorizzazione e segmentazione di rete – permette alle aziende italiane di ridurre significativamente la superficie di attacco e di garantire la continuità operativa indispensabile per la competitività nel panorama globale.