Analisi tecnica e strategica sulle recenti criticità di Fortinet, Ivanti e le campagne di phishing al Registro Imprese. Guida per imprenditori e IT manager.

Un amministratore di sistema tra l'allerta Fortinet e il panico da patch

È un martedì di settembre 2026. La dashboard del CSIRT Italia si accende con una serie di alert che mettono a dura prova la tenuta nervosa di chi gestisce l'infrastruttura di un'azienda media. Il primo segnale arriva da Fortinet. L'allerta AL06/260909/CSIRT-ITA non lascia spazio a interpretazioni: sono state rilevate vulnerabilità in prodotti chiave come FortiOS e FortiProxy. Per un amministratore, questo significa che il perimetro di sicurezza, il muro che separa l'azienda dal web, ha delle crepe.

Il rischio è concreto. Tre delle vulnerabilità sono classificate come critiche, una come alta. Se un attaccante riuscisse a sfruttarle, potrebbe ottenere l'accesso a informazioni sensibili attraverso Authentication Bypass o Information Disclosure. Il panico da patch scatta quando si legge la lista dei prodotti affetti: FortiOS 7.6.x (versioni precedenti alla 7.6.7), FortiProxy 7.6.x (precedenti alla 7.6.7) e diverse versioni di FortiSandbox. Non è solo una questione di aggiornare un software, ma di coordinare un downtime in un'architettura dove il firewall è il cuore pulsante.

L'impatto sistemico è valutato dall'Agenzia per la Cybersicurezza Nazionale (ACN) come Alto, con un punteggio di 66.53. In questo scenario, l'amministratore deve correre agli aggiornamenti Fortinet per evitare che un bypass delle feature di sicurezza apra le porte a intrusioni silenziose.

14

Questo numero non è casuale. Se sommiamo le vulnerabilità critiche e alte di Ivanti (10) a quelle di Fortinet (4), otteniamo il volume di minacce ad alto impatto che hanno colpito i vendor di infrastruttura in un singolo ciclo di aggiornamenti. Analizzando questo dato, emerge una tendenza strategica: l'attacco non mira più solo all'endpoint dell'utente finale, ma si sposta verso i sistemi di gestione e i gateway. Quando un vendor di sicurezza come Fortinet o un gestore di ITSM come Ivanti presenta falle critiche, l'effetto moltiplicatore è devastante perché l'attaccante non deve più forzare una singola porta, ma acquisisce le chiavi del castello.

L'analisi del rischio per un imprenditore deve spostarsi dalla domanda 'Siamo protetti?' alla domanda 'Quanto velocemente possiamo patchare?'. La concentrazione di vulnerabilità critiche in prodotti di gestione remota e sicurezza indica che i sistemi di amministrazione sono diventati il target primario per l'escalation dei privilegi.

L'italiano incerto che tradisce il finto Registro Imprese

Mentre i tecnici lottano con le patch, nelle caselle email dei dipensati amministrativi arriva un messaggio. Il tema è familiare: l'aggiornamento dei dati presso il Registro Imprese e le Camere di Commercio. È una campagna di phishing sofisticata nella struttura, ma fragile nella forma. L'ACN, nel bollettino BL01/260910/CSIRT-ITA, evidenzia un dettaglio fondamentale: la mail è scritta in un 'italiano incerto'.

Gli aggressori cercano di manipolare la vittima creando un contesto operativo di urgenza. Sostengono che si tratti della terza comunicazione inviata, spingendo l'utente a inserire i propri dati aziendali in un portale che riproduce impropriamente i loghi e il nome dell'ente ufficiale. È un classico esempio di ingegneria sociale dove la pressione psicologica deve compensare la scarsa qualità linguistica del testo.

Per l'imprenditore, questo scenario rivela che il fattore umano resta l'anello più debole. Nonostante i firewall aggiornati, basta un click su un link di un finto Registro Imprese per consegnare le credenziali aziendali a terzi. La difesa qui non è tecnologica, ma formativa: riconoscere l'urgenza artificiale e diffidare da richieste di dati inattese.

Perché l'esecuzione di codice arbitrario in Ivanti è il vero incubo

Se il phishing è un tentativo di inganno, l'Arbitrary Code Execution (ACE) è un'invasione violenta. Ivanti ha rilasciato aggiornamenti per sanare 10 vulnerabilità, di cui 6 critiche. Il problema risiede in prodotti come Ivanti Neurons for ITSM e Ivanti Sentry. In termini tecnici, l'ACE permette a un attaccante remoto, spesso non autenticato, di eseguire comandi direttamente sul sistema della vittima.

Perché questo è l'incubo di ogni CTO? Perché l'esecuzione di codice arbitrario bypassa ogni controllo di accesso. Non serve rubare una password se posso dire al server di eseguire un comando che mi crei un account amministratore o che cifri i dati per un ransomware. In Ivanti, queste falle permettono di eludere i meccanismi di autorizzazione o ottenere privilegi elevati (Privilege Escalation).

Il rischio è amplificato dalla natura dei prodotti: Ivanti Neurons è usato per la gestione dei servizi IT. Se il sistema che deve gestire l'intera infrastruttura è compromesso, l'attaccante ha una visibilità totale su ogni asset aziendale. La raccomandazione dell'ACN è netta: aggiornare immediatamente le versioni di Ivanti Sentry (R10.8.x, R10.7.x, R10.6.x) e le versioni On-Prem di Neurons for ITSM attraverso i canali ufficiali di aggiornamento Ivanti.

Il meccanismo del reindirizzamento per ingannare l'utente

Il phishing al Registro Imprese non si ferma al furto dei dati; utilizza una tecnica di 'chiusura del cerchio' per evitare che la vittima sospetti l'inganno. Il processo segue un flusso preciso:

• Ricezione della mail con tono urgente e italiano approssimativo.
• Click sul link che conduce a una landing page specchio, visivamente identica al portale del Registro Imprese.
• Inserimento dei dati aziendali da parte della vittima.
• Reindirizzamento automatico al portale legittimo del Registro Imprese.

Quest'ultimo passaggio è il più insidioso. Quando l'utente si ritrova sulla pagina reale, l'impressione è che la procedura sia andata a buon fine e che il sistema lo abbia semplicemente riportato alla home page ufficiale. Questo elimina il sospetto immediato, dando agli attaccanti tempo prezioso per utilizzare i dati sottratti prima che l'azienda si accorga della falla. È un'operazione di camuffamento post-attacco che rende il phishing molto più efficace delle vecchie campagne che portavano a pagine di errore o siti palesemente falsi.

La resilienza delle infrastrutture critiche italiane tra le direttive NIS2 e il rischio vendor

L'analisi di questi eventi collettivi — dalle 230 vulnerabilità di Google Chrome (di cui 5 critiche) alle 104 di Android, fino ai casi Fortinet e Ivanti — evidenzia una dipendenza sistemica dai vendor. Quando un singolo aggiornamento di Chrome deve correggere una vulnerabilità come la CVE-2026-87491, attivamente sfruttata in rete nel componente V8, l'intera forza lavoro aziendale che usa quel browser diventa un potenziale vettore di ingresso.

In questo contesto, la direttiva europea NIS2 non è più solo un obbligo burocratico, ma una necessità strategica. La NIS2 impone standard più rigorosi per la gestione del rischio nella supply chain. Il rischio vendor è evidente: l'azienda italiana non è responsabile del bug in Fortinet o Ivanti, ma è responsabile della tempestività con cui lo mitiga. La resilienza non sta nell'assenza di vulnerabilità — che è impossibile — ma nella capacità di risposta.

Un caso emblematico di rischio immediato è N-able N-central. La CVE-2026-86218 ha uno score CVSS v4.0 pari a 10, il massimo della pericolosità. Qui l'attaccante remoto può iniettare direttive arbitrarie in file statici che, una volta elaborati dal server, eseguono codice malevolo. Per un'impresa che affida il monitoraggio della propria rete a piattaforme di gestione remota, questo significa che lo strumento di controllo può diventare l'arma del delitto.

Per l'imprenditore italiano, l'indicatore verificabile della propria resilienza sarà la capacità di implementare un ciclo di patching che non superi le 48 ore per le vulnerabilità classificate come critiche dall'ACN. Se il tempo medio di risposta rimane di settimane, l'allineamento alla NIS2 resterà solo formale, lasciando l'azienda esposta a exploit già noti e attivamente sfruttati.

Implicazioni per il mercato UE e locale

L'integrazione tra AI Act e NIS2 spingerà le imprese verso l'adozione di sistemi di monitoraggio automatizzati. La mole di vulnerabilità (si pensi alle 104 di Android o alle 49 di Adobe tra critiche e alte) rende impossibile la gestione manuale. Le aziende che investiranno in strumenti di Vulnerability Management automatizzati avranno un vantaggio competitivo in termini di continuità operativa, riducendo il rischio di fermi produttivi causati da ransomware che sfruttano proprio queste falle di esecuzione di codice arbitrario.

Domande frequenti

---

Fonti: Acn (7) ·

glacom · IA per aziende e PMI: da dove si comincia davvero →