Sicurezza Siemens S7 PLC: l'avviso CISA e i rischi per la produzione

Un servizio disabilitato che ferma l'impianto

Immaginate un tecnico della sicurezza informatica che, seguendo una checklist di hardening standard, decide di disabilitare un servizio ritenuto inutilizzato su un controller Siemens S7. In un ambiente IT tradizionale, questa operazione sarebbe una routine di manutenzione senza rischi. In un impianto industriale, lo stesso gesto può trasformarsi in un incidente operativo.

Quel servizio 'inutilizzato' potrebbe essere l'unico canale che trasporta il traffico di remote I/O o che fornisce i valori di processo a un'interfaccia HMI. Chiudendo quella porta senza una mappatura precisa, il team di sicurezza non previene un attacco, ma provoca esattamente l'outage che avrebbe voluto evitare. Questo scenario è il cuore del problema implementativo sollevato in merito all'avviso AA26-231A, emesso il 19 agosto 2026 da una coalizione di agenzie statunitensi tra cui NSA, CISA, FBI, Department of Energy ed Environmental Protection Agency.

Il rischio è concreto perché le diverse generazioni di CPU Siemens S7 — dalle serie 200, 300 e 400 fino alle 1200 e 1500, inclusi i controller di sicurezza F-series — non offrono funzioni di sicurezza identiche. Applicare una misura di mitigazione uniforme a tutto il parco macchine significa ignorare le specificità architetturali di ogni generazione.

Script AI e la caccia alla porta 102

L'offensiva attuale non si basa su vulnerabilità zero-day sconosciute, ma su un uso sofisticato di strumenti accessibili. Secondo quanto riportato dalle agenzie governative, gli attori della minaccia stanno conducendo attività di ricognizione e sviluppo di capacità contro le installazioni di PLC Siemens negli Stati Uniti utilizzando 'AI-generated exploitation scripts disguised as legitimate monitoring tools'.

La strategia degli attaccanti segue un pattern preciso: l'uso di servizi di scansione internet per individuare controller esposti o segmentati male, combinando informazioni pubbliche con script assistiti dall'intelligenza artificiale. Per l'esecuzione tecnica, vengono impiegate librerie come Snap7 e python-snap7, mirate specificamente alla porta TCP 102.

Analisi strategica: L'integrazione dell'AI nella fase di ricognizione riduce drasticamente i tempi di identificazione dei target e automatizza la creazione di payload che possono mimare il traffico di monitoraggio legittimo. Questo rende i sistemi di rilevamento basati su semplici firme meno efficaci, poiché l'attacco non appare come un'anomalia grossolana, ma come un'attività di manutenzione o monitoraggio.

Il bollettino SSB-104599 di Siemens ProductCERT conferma che la minaccia deriva principalmente da misconfigurazioni e vulnerabilità note, piuttosto che da nuovi difetti del software. Questo sposta la responsabilità della sicurezza dal produttore all'operatore, che deve garantire l'applicazione delle patch e la corretta configurazione del perimetro.

Perché l'avviso CISA non è un semplice aggiornamento

Molti manager IT tendono a catalogare gli avvisi di sicurezza come semplici notifiche di patching. In questo caso, l'avviso AA26-231A è diverso perché descrive una minaccia attiva che colpisce settori critici: produzione industriale, energia, acqua, prodotti chimici, alimentare e agricoltura, oltre a strutture commerciali.

Le raccomandazioni fornite dalle agenzie sono tecnicamente ragionevoli, ma operativamente pericolose se applicate senza contesto. Le misure principali includono:

• Inventario completo di tutti i PLC Siemens S7 in uso.
• Applicazione di patch di sicurezza critiche.
• Eliminazione dell'esposizione diretta a Internet.
• Rafforzamento dei controlli di accesso e monitoraggio delle comunicazioni S7.
• Hardening dei servizi, dei protocolli e dell'integrità della ladder logic.

Il punto critico risiede nel fatto che l'implementazione di queste misure può influenzare direttamente la produzione. Ad esempio, limitare le comunicazioni S7 o aggiornare il firmware senza un piano di rollback e una finestra di manutenzione coordinata può portare a fermi macchina non pianificati.

Per questo motivo, esperti come quelli di HazeTec suggeriscono un approccio prioritario: bloccare la porta TCP 102 al perimetro della rete prima di modificare le impostazioni interne dei PLC o il firmware. Questo permette di ridurre l'esposizione immediata senza rischiare di rompere le dipendenze interne tra PLC, HMI e remote I/O.

Il rischio di blindare i PLC senza una mappa delle dipendenze

L'errore più comune nelle operazioni di cybersecurity industriale è l'adozione di una 'generic security checklist'. In un ambiente OT (Operational Technology), la sicurezza non può essere slegata dalla disponibilità del servizio. Se l'obiettivo è l'hardening, l'unica strada sicura è il 'dependency-led change plan'.

Cosa significa concretamente? Significa che prima di disabilitare un protocollo, il team OT deve validare ogni singolo servizio 'inutilizzato' attraverso l'analisi delle configurazioni di engineering e l'analisi del traffico di rete. Solo dopo aver confermato che nessun dispositivo critico dipenda da quel servizio, l'operazione può procedere.

Lettura critica: Esiste un conflitto intrinseco tra l'urgenza della sicurezza (chiudere le porte subito) e la stabilità della produzione (non toccare ciò che funziona). Se l'azienda non possiede una mappa aggiornata delle dipendenze tra i suoi asset industriali, l'applicazione delle linee guida CISA diventa un gioco d'azzardo. La sicurezza diventa paradossalmente la causa del downtime.

Per mitigare questo rischio, le aziende dovrebbero adottare un processo di validazione a fasi: 1. Analisi passiva del traffico per mappare le comunicazioni sulla porta 102. 2. Segmentazione della rete per isolare i PLC dal web. 3. Hardening mirato su singoli dispositivi in ambienti di test o durante i fermi programmati.

Ulteriori dettagli su come procedere senza interrompere la produzione sono disponibili in analisi approfondite come quella pubblicata su CSO Online.

La messa in sicurezza delle infrastrutture critiche tra NIS2 e standard UE

L'avviso CISA, sebbene focalizzato sugli Stati Uniti, ha implicazioni dirette per le imprese europee e italiane. La convergenza tra le minacce descritte (uso di AI per l'exploitation) e il quadro normativo europeo rende questo dossier fondamentale per ogni imprenditore nel settore manifatturiero o energetico.

La direttiva NIS2 impone obblighi rigorosi in materia di gestione del rischio e sicurezza della catena di approvvigionamento per i settori considerati essenziali o importanti. La mancata applicazione di patch critiche o l'assenza di un inventario degli asset (come richiesto esplicitamente da CISA) non è più solo un rischio tecnico, ma una potenziale violazione di compliance con sanzioni significative.

In Italia, dove il tessuto industriale è composto da PMI che spesso utilizzano PLC Siemens di generazioni diverse (dal vecchio S7-300 al moderno S7-1500), il rischio di 'misconfiguration' è elevatissimo. Molte di queste aziende non hanno un team di sicurezza OT dedicato e si affidano a manutentori esterni che potrebbero non essere aggiornati sulle ultime minacce AI-driven.

L'integrazione tra l'AI Act e la NIS2 richiederà alle imprese di monitorare non solo i propri sistemi, ma anche gli strumenti di AI utilizzati per la manutenzione e il monitoraggio, per evitare che diventino vettori di attacco, proprio come accade con gli script di exploitation citati nell'avviso AA26-231A.

Per monitorare l'evoluzione di questa minaccia, gli imprenditori dovrebbero osservare due indicatori verificabili: 1. L'emissione di nuovi bollettini SSB da parte di Siemens ProductCERT specifici per le versioni firmware più diffuse nel mercato locale. 2. L'introduzione di requisiti tecnici specifici per la protezione dei PLC all'interno delle linee guida nazionali di implementazione della NIS2.

'The threat actors are conducting reconnaissance and capability development against U.S.-based Siemens PLC installations using AI-generated exploitation scripts disguised as legitimate monitoring tools'

Questa citazione dell'avviso CISA chiarisce che non siamo di fronte a un attacco opportunistico, ma a una campagna di sviluppo di capacità. L'obiettivo non è solo l'interruzione immediata, ma la creazione di un accesso persistente e invisibile all'interno delle infrastrutture critiche.

Domande frequenti

Fonti: Csoonline, Cisa, Hazetec ·