Vulnerabilità zero-day

Una vulnerabilità zero-day (in inglese zero-day vulnerability) è un difetto di sicurezza in un software, in un firmware o in un componente hardware che gli attaccanti conoscono prima che il produttore l’abbia corretto, spesso prima ancora che il produttore sappia che esiste. Il nome conta i giorni che il produttore ha avuto per reagire: zero. Il National Institute of Standards and Technology (NIST), l’ente statunitense per gli standard, definisce un attacco zero-day come un attacco che sfrutta una vulnerabilità hardware, firmware o software non nota in precedenza. Quando la correzione viene pubblicata il difetto smette di essere uno zero-day, ma ogni dispositivo che non l’ha installata resta esposto, e per i dispositivi connessi questo intervallo può durare anni.

Che differenza c’è tra vulnerabilità, exploit e attacco zero-day?

Sono tre passaggi dello stesso problema. La vulnerabilità è la debolezza in sé, per esempio un bug nel modo in cui il firmware di una telecamera legge un messaggio di rete. L’exploit è il codice o la tecnica che sfrutta la debolezza, come un messaggio costruito ad arte che permette a un estraneo di eseguire comandi sulla telecamera. L’attacco è l’uso dell’exploit contro vittime reali.

Una vulnerabilità può restare inosservata per anni; diventa urgente quando qualcuno comincia a sfruttarla. Il Cyber Resilience Act dell’UE, il regolamento sulla ciberresilienza, traccia la stessa distinzione nelle sue definizioni: una vulnerabilità è una debolezza che può essere sfruttata da una minaccia informatica, e una “vulnerabilità attivamente sfruttata” è una vulnerabilità per la quale ci sono prove affidabili che un attore malevolo l’abbia sfruttata in un sistema senza il permesso del proprietario (articolo 3, punti 40 e 42). Quando un difetto diventa pubblico di solito riceve un identificativo CVE, un numero di riferimento che permette a tutti di parlare dello stesso bug.

Perché i dispositivi IoT restano esposti più a lungo?

Perché la correzione arriva tardi, o non arriva mai. Un telefono o un portatile spesso installano una correzione in automatico nel giro di pochi giorni; molti dispositivi connessi funzionano diversamente:

• Il firmware si aggiorna di rado. Il firmware, cioè il software integrato nel dispositivo, può essere aggiornato solo poche volte in tutta la vita del prodotto.
• Niente aggiornamenti automatici. Senza un sistema di aggiornamento over-the-air (OTA), cioè via rete, che funzioni davvero, il proprietario deve installare la correzione a mano, e molti non lo fanno mai.
• Catene di fornitura lunghe. Un difetto nel software di un produttore di chip o in una libreria open source va corretto prima da quel fornitore, poi da ogni marchio che lo usa.
• Prodotti fuori supporto. Quando un produttore smette di supportare un prodotto, i difetti scoperti dopo non vengono più corretti. A volte questi difetti vengono chiamati “forever-day”, perché la debolezza è pubblica ma per quel dispositivo una patch non arriverà mai. Il periodo di supporto di sicurezza ti dice quando arriva quel momento.

Le apparecchiature industriali hanno lo stesso problema in forma più grave: il NIST osserva che gli aggiornamenti della tecnologia operativa (OT) non sempre si possono installare subito, perché vanno prima collaudati e i fermi vanno pianificati in anticipo (SP 800-82 Rev. 3, sezione 2.4). I dispositivi senza patch raggiungibili da internet sono anche facili reclute per le botnet, le reti di dispositivi infettati e comandati a distanza dagli attaccanti.

Che cos’è il catalogo Known Exploited Vulnerabilities della CISA?

È un elenco pubblico delle vulnerabilità usate in attacchi reali, tenuto dalla Cybersecurity and Infrastructure Security Agency (CISA), l’agenzia federale statunitense per la cybersicurezza e la sicurezza delle infrastrutture. Un difetto entra nel catalogo Known Exploited Vulnerabilities (KEV), cioè delle vulnerabilità note e sfruttate, solo se soddisfa tre criteri: ha un identificativo CVE, ci sono prove affidabili che sia stato sfruttato attivamente e c’è un modo chiaro per correggerlo, come un aggiornamento del fornitore. Le agenzie federali civili degli Stati Uniti devono correggere i difetti elencati entro scadenze precise, che dal 10 giugno 2026 sono fissate dalla Binding Operational Directive 26-04, una direttiva operativa vincolante, e devono dismettere i prodotti colpiti che sono a fine vita o non si possono aggiornare. La CISA raccomanda vivamente a ogni organizzazione di tenere d’occhio il catalogo e di usarlo per decidere quali aggiornamenti installare per primi.

Nel catalogo compaiono router, telecamere IP, dischi di rete (NAS) e controller industriali accanto ai software da ufficio. Siccome per entrare serve una correzione chiara, di solito uno zero-day ci arriva dopo che il produttore ha reagito.

Cosa chiede il Cyber Resilience Act quando una vulnerabilità viene sfruttata?

Dall’11 settembre 2026 i fabbricanti di prodotti connessi venduti nell’UE devono segnalare le vulnerabilità attivamente sfruttate nei loro prodotti. L’articolo 14 del Cyber Resilience Act, regolamento (UE) 2024/2847, fissa tre scadenze; le prime due si contano dal momento in cui il fabbricante viene a conoscenza dello sfruttamento:

• un preallarme entro 24 ore;
• una notifica della vulnerabilità entro 72 ore, con informazioni generali sul prodotto, sull’exploit e sulle misure correttive adottate o a disposizione degli utenti;
• una relazione finale al più tardi 14 giorni dopo che è disponibile una correzione o un’altra misura correttiva.

Le segnalazioni vanno contemporaneamente al gruppo nazionale di intervento per la sicurezza informatica in caso di incidente (CSIRT) designato come coordinatore e all’ENISA, l’agenzia dell’UE per la cybersicurezza, attraverso un’unica piattaforma di segnalazione (articolo 14, paragrafo 1). Il fabbricante deve anche informare gli utenti coinvolti e spiegare loro come limitare i danni (articolo 14, paragrafo 8). Quasi tutto il regolamento si applica dall’11 dicembre 2027, ma l’articolo 14 si applica già dall’11 settembre 2026 (articolo 71, paragrafo 2) e riguarda anche i prodotti immessi sul mercato prima di dicembre 2027 (articolo 69, paragrafo 3). La voce Cyber Resilience Act riassume il resto della legge.

Cosa puoi fare se hai un dispositivo connesso?

Non puoi impedire uno zero-day, ma puoi accorciare il tempo in cui i tuoi dispositivi restano esposti quando una correzione esiste:

• Attiva gli aggiornamenti automatici dove il dispositivo o la sua app li offrono, e controlla a mano se ci sono aggiornamenti del firmware per i dispositivi che non si aggiornano da soli.
• Prima di comprare, cerca la data in cui finisce il supporto di sicurezza. Con il Cyber Resilience Act, per i prodotti immessi sul mercato dall’11 dicembre 2027 i produttori dovranno indicare al momento dell’acquisto almeno il mese e l’anno (articolo 13, paragrafo 19).
• Sostituisci i dispositivi che non ricevono più aggiornamenti, cominciando da router, telecamere e altri apparecchi raggiungibili da internet.
• Disattiva le funzioni di accesso remoto che non usi e metti i dispositivi smart su una rete ospiti separata, se il tuo router la offre.
• Cambia le password predefinite: limita anche i danni di molti altri difetti.

In azienda, tieni un elenco dei dispositivi e delle versioni del firmware che usano, confrontalo con le nuove voci del catalogo KEV e isola le apparecchiature che non si possono aggiornare. Fondamenti di sicurezza IoT spiega l’insieme più ampio delle difese.

Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.