Mentre l'attenzione si concentrava sul Patch Tuesday Microsoft da quasi mille CVE, l'8 e il 9 settembre i grandi fornitori dell'automazione industriale hanno pubblicato la loro tornata di avvisi. È un appuntamento che riceve molta meno copertura e che, per un Paese manifatturiero come l'Italia, andrebbe letto con la stessa attenzione.

Schneider Electric: autenticazione aggirabile sui Modicon M580

Schneider Electric ha pubblicato quattro nuovi avvisi di sicurezza e ne ha aggiornati altri quattro, uno dei quali risalente al 2019. Il più grave è CVE-2026-3869, CVSS v4 pari a 9.2: un difetto nell'algoritmo di autenticazione dei controllori Modicon M580 e Modicon M580 Safety, che si traduce in un aggiramento dell'autenticazione.

Sono interessati tutti gli M580 con application level inferiore a 4.00 e tutti gli M580 Safety sotto la versione 4.20. La correzione richiede l'aggiornamento del firmware e dell'application level, da eseguire sotto le procedure di change control proprie degli ambienti OT.

Nello stesso rilascio Schneider ha corretto falle di gravità alta nella piattaforma PowerLogic T300 (ex Easergy T300 RTU) e in EcoStruxure IT Data Center Expert, oltre a una di gravità media negli SCADAPack x70. Quattro avvisi più vecchi sono stati aggiornati per segnalare la disponibilità delle patch per il controllore Modicon MC80.

Siemens: quattro avvisi critici, dai relè di protezione al building automation

Siemens ha pubblicato nove nuovi avvisi dall'ultimo Patch Tuesday, sette dei quali l'8 settembre, e ne ha aggiornati altri nove. Quattro riguardano vulnerabilità di gravità critica in:

  • Reyrolle 7SR5, la famiglia di relè di protezione usati nelle cabine elettriche di media tensione;
  • Open Interface Services (OIS);
  • Industrial Edge Management;
  • SIMOVE Fleetmanager e SIPLANT.

Gravità alta per Desigo CC — la piattaforma di building automation che governa impianti di ospedali, aeroporti e data center — oltre che per Teamcenter, il modulo SAML di Mendix ed Element Maps.

Siemens ha inoltre annunciato la distribuzione degli aggiornamenti per diversi prodotti relativi alla falla del kernel Linux nota come Copy Fail, CVE-2026-31431 (CVSS 7.8), divulgata ad aprile, che consente a un attaccante di ottenere una shell di root.

Aveva e Rockwell

Aveva ha pubblicato un avviso su quattro falle nel componente PIMBoards di Pipeline Integrity Monitor. Due sono di gravità alta e sono, francamente, di un altro decennio: una chiave di cifratura scritta nel codice che consente di decifrare informazioni riservate, e password protette con hash MD5, quindi riconducibili in chiaro con sforzo modesto. Segnalata anche una deserializzazione non sicura di gravità media in Enterprise SCADA, potenzialmente sfruttabile per esecuzione di codice remoto.

Rockwell Automation ha pubblicato la settimana precedente nove avvisi, con falle critiche e di gravità alta in RSLinx Classic e problemi di gravità alta nel modulo 1756-ENBT, in FactoryTalk Historian ME, FactoryTalk Activation Manager, Redundancy Module Configuration Tool, ControlFLASH, ArmorStart e nei controllori CompactLogix 5380/5480/5580, GuardLogix 5580 e Compact GuardLogix 5380.

Cosa significa per le aziende italiane

In ambito IT la domanda dopo un bollettino è "quando applichiamo la patch". In ambito OT la domanda è un'altra: "quando c'è la prossima fermata". Ed è una differenza che cambia tutto il ragionamento.

Un Modicon M580 governa una linea di produzione. Aggiornarne il firmware significa fermare la linea, ricollaudare e — quando si tratta della variante Safety — spesso rifare una validazione funzionale con l'organismo o il system integrator che ha firmato la messa in servizio. Nella pratica di uno stabilimento italiano, la finestra realistica non è questo fine settimana: è la manutenzione programmata o la fermata di fine anno. Parliamo di mesi, non di giorni, e non per negligenza ma per la natura del vincolo.

La conseguenza è che per l'OT la domanda giusta non è quando si applica la patch, ma che cosa si mette al suo posto nel frattempo. Qui il dettaglio tecnico aiuta: CVE-2026-3869 è un difetto nell'algoritmo di autenticazione, il che presuppone che l'attaccante riesca a parlare con il controllore. Se un PLC di linea è raggiungibile dalla rete degli uffici, dalla VPN di un fornitore o — capita più spesso di quanto si ammetta — da una chiavetta 4G installata per la teleassistenza, la falla diventa immediatamente rilevante. Se sta dietro una segmentazione seria, con accesso mediato e tracciato, il rischio nei mesi di attesa è governabile. La misura compensativa, in altre parole, non è un ripiego: in OT è spesso la misura principale, e la patch arriva dopo.

Il secondo punto riguarda chi è nel perimetro normativo. I relè Reyrolle 7SR5 stanno nelle cabine di distribuzione elettrica: settore energia, allegato I del d.lgs. 138/2024, il decreto che recepisce NIS2, quindi soggetti essenziali con gli obblighi più stringenti. Il manifatturiero, dove stanno M580 e ControlLogix, è nell'allegato II. Desigo CC governa impianti di edifici che ospitano attività sanitarie e di trasporto, altri due settori dell'allegato I.

Per tutti questi soggetti l'obbligo non è avere zero vulnerabilità aperte — sarebbe irrealizzabile in OT — ma dimostrare una gestione del rischio proporzionata e documentata. La posizione peggiore in un'ispezione o in un contenzioso assicurativo non è "abbiamo una vulnerabilità nota non ancora sanata": è "abbiamo una vulnerabilità nota, non sanata, e non risulta che qualcuno l'abbia valutata". Un'analisi scritta che dica quali asset sono interessati, perché la patch è pianificata per marzo e non per ottobre, e quali controlli compensativi sono attivi nel frattempo, è esattamente ciò che rende difendibile un ritardo tecnicamente inevitabile. In caso di incidente con impatto significativo restano la notifica preliminare al CSIRT Italia entro 24 ore e quella completa entro 72.

Terzo, una nota sull'inventario. Molti stabilimenti italiani non sanno con precisione quale application level giri su ciascun M580, perché quella informazione vive nella testa dell'integratore che ha fatto il progetto, a volte anni fa. È il momento di chiederlo formalmente, perché senza quel dato non si può nemmeno stabilire se si è interessati.

Cosa fare subito

  • Chiedere al proprio system integrator l'elenco dei Modicon M580 e M580 Safety installati con il rispettivo application level, e verificare quali siano sotto 4.00 e 4.20.
  • Consultare direttamente i portali dei fornitori — Schneider Electric, Siemens ProductCERT, Aveva, Rockwell Automation — e non affidarsi solo alle segnalazioni indirette: gli avvisi contengono le versioni corrette e le mitigazioni ufficiali.
  • Verificare la raggiungibilità dei controllori: nessun PLC dovrebbe essere interrogabile dalla rete degli uffici, dal Wi-Fi ospiti o direttamente da Internet. Controllare anche i router 4G installati per la teleassistenza.
  • Sospendere o mediare gli accessi da remoto dei fornitori finché la patch non è applicata, imponendo autenticazione a più fattori, finestre temporali limitate e registrazione delle sessioni.
  • Introdurre monitoraggio passivo del traffico industriale, che non richiede fermate: rileva cambi di programma, scritture anomale e nuovi dispositivi senza toccare il processo.
  • Aggiornare separatamente i sistemi Windows che ospitano RSLinx Classic, FactoryTalk e Desigo CC: sono componenti IT, spesso trascurati perché "stanno in fabbrica", ma aggiornabili con finestre molto più brevi dei PLC.
  • Mettere per iscritto la valutazione del rischio per le vulnerabilità che non si possono sanare subito, indicando data pianificata dell'intervento e misure compensative: è il documento che serve tanto a NIS2 quanto all'assicuratore.