Introduzione
La sicurezza dei sistemi industriali è un tema sempre più centrale nel panorama digitale contemporaneo. Il 4 marzo 2026, l’agenzia americana per la sicurezza delle infrastrutture (CISA) ha pubblicato un avviso ufficiale riguardante alcune vulnerabilità scoperte in prodotti del fornitore AVEVA, azienda specializzata in software per il controllo e la gestione di impianti industriali. Ad oggi non risultano casi di sfruttamento attivo di queste vulnerabilità, ma la loro gravità rende opportuno informare le organizzazioni interessate.
Cosa è successo
I ricercatori hanno identificato tre vulnerabilità nei prodotti AVEVA System Platform, OMI Server e Historian, strumenti utilizzati da aziende industriali per monitorare e gestire processi produttivi complessi. Le tre vulnerabilità, identificate con i codici CVE-2026-0623, CVE-2026-0624 e CVE-2026-0625, riguardano rispettivamente la gestione non sicura di dati provenienti dall’esterno, la possibile esposizione di informazioni riservate e un difetto nel controllo dei percorsi di accesso ai file di sistema. In termini semplici, queste falle potrebbero consentire a un malintenzionato di prendere il controllo da remoto di un sistema, renderlo temporaneamente inutilizzabile oppure accedere a informazioni che dovrebbero restare riservate.
La prima delle tre vulnerabilità ha ricevuto un punteggio di gravità pari a 9,8 su 10, classificato come critico. Le altre due hanno ottenuto un punteggio di 7,5 su 10, considerato alto. Questi valori vengono assegnati seguendo uno standard internazionale e aiutano le aziende a stabilire con quale urgenza intervenire.
Perché è importante e qual è l’impatto potenziale
I prodotti coinvolti sono impiegati in settori strategici come la produzione di energia, la gestione dell’acqua, l’industria manifatturiera e altri ambiti critici per la vita quotidiana. Un eventuale attacco che sfruttasse queste vulnerabilità potrebbe causare interruzioni operative, perdita di dati sensibili o, nei casi più gravi, compromettere la sicurezza degli impianti. È importante sottolineare che, al momento della pubblicazione dell’avviso, non sono stati segnalati attacchi reali che abbiano sfruttato queste debolezze.
Cosa possono fare ora aziende e utenti
AVEVA ha già pubblicato un proprio avviso di sicurezza con indicazioni specifiche per i clienti. Le organizzazioni che utilizzano i prodotti interessati dovrebbero consultare tempestivamente il sito ufficiale del fornitore per verificare se sono disponibili aggiornamenti o patch correttive. È inoltre consigliabile rivedere le configurazioni di rete degli impianti, limitando l’accesso ai soli utenti e sistemi autorizzati. Chi gestisce infrastrutture critiche può fare riferimento alle indicazioni della CISA per una valutazione più approfondita del rischio.
Takeaway finali
- Tre vulnerabilità di gravità alta e critica sono state identificate in software industriali AVEVA e rese pubbliche il 4 marzo 2026.
- Non risultano, ad oggi, casi di sfruttamento attivo, ma agire con tempestività nell’applicare gli aggiornamenti rimane la scelta più prudente.
- Le aziende che operano in settori critici dovrebbero consultare gli avvisi ufficiali di CISA e AVEVA per ricevere istruzioni aggiornate e specifiche.
Fonti:
https://www.cisa.gov/news-events/ics-advisories/icsa-26-062-03
https://nvd.nist.gov/vuln/detail/CVE-2026-0623
https://www.aveva.com/en/about/news/press-releases/2026/aveva-security-advisory-2026-062
Fonte: CISA Advisories