CISA, l’agenzia statunitense per la sicurezza informatica, ha inserito il 10 novembre 2026 quattro nuove vulnerabilità nel catalogo KEV, cioè l’elenco dei difetti già sfruttati dagli attaccanti nel mondo reale. Per un’azienda questo conta perché non si parla di rischi teorici: si tratta di falle su componenti usati per accesso remoto, telefonia, trasferimento file e infrastrutture AI, con possibilità concrete di accesso non autorizzato, esecuzione di comandi e persistenza sui sistemi.
Che cosa è successo
Il 10 novembre 2026 CISA ha aggiunto al proprio catalogo Known Exploited Vulnerabilities quattro vulnerabilità che coinvolgono:
- IBM Aspera Faspex
- SignalWire FreeSWITCH
- OpenBSD OpenSSH su Linux
- GPUStack
L’inserimento nel KEV non è un dettaglio burocratico. Significa che esistono evidenze di sfruttamento attivo da parte di attori ostili. In pratica, chi gestisce sistemi esposti o non aggiornati deve trattare queste falle come una priorità operativa, non come un normale aggiornamento da rimandare.
Per le agenzie federali civili statunitensi, CISA ha indicato come scadenza il 12 novembre 2026 per applicare le correzioni. Anche se l’obbligo non riguarda le aziende italiane, il messaggio è chiaro: i tempi di reazione devono essere molto rapidi.
Le quattro vulnerabilità da tenere d’occhio
OpenSSH: il caso più urgente per i server Linux
La vulnerabilità CVE-2026-123158, soprannominata SSHole, ha un punteggio CVSS 8.1 e riguarda OpenBSD OpenSSH su Linux. Il problema può consentire un bypass dell’autenticazione a causa di una gestione imprevista dei codici di stato o dei valori di ritorno.
È l’elemento più delicato per molte aziende perché OpenSSH è spesso la porta d’ingresso amministrativa ai server Linux, on-premise o in cloud. Se l’accesso SSH viene compromesso, l’attaccante può prendere il controllo del sistema e muoversi lateralmente nella rete.
Le fonti citate da CISA indicano che i tentativi di sfruttamento sono stati osservati dal 6 novembre 2026. Secondo Previdian, finora sono stati registrati 22 tentativi di sfruttamento da 14 indirizzi IP unici. GreyNoise ha riferito di aver rilevato il primo tentativo contro la propria rete di honeypot il 7 novembre 2026 alle 12:46 a.m. UTC, con attività post-compromissione confermata da sei IP sorgente e 18 catene di attacco distinte.
Le azioni osservate dopo l’accesso includono:
- ricognizione del sistema;
- interrogazione dei servizi di metadata cloud;
- tentativi di lettura degli hash delle password e delle chiavi SSH di root;
- modifica del file
authorized_keysper mantenere un accesso persistente.
In almeno un caso, un attore identificato come GT10 ha distribuito TAC Agent, un agente Python di comando e controllo capace di eseguire comandi di shell, fare ricognizione, elencare directory, trasferire file e aggiornarsi. watchTowr ha inoltre osservato un uso della vulnerabilità per attività legate a botnet e cryptominer.
La correzione è stata rilasciata a novembre 2026.
FreeSWITCH: rischio per centralini VoIP e comunicazioni
La CVE-2026-116779 riguarda SignalWire FreeSWITCH e ha un punteggio CVSS 9.8. Si tratta di una vulnerabilità di code injection che può portare a:
- divulgazione di configurazioni e credenziali;
- controllo arbitrario delle chiamate;
- esecuzione di comandi.
Per chi usa centralini VoIP o piattaforme di comunicazione basate su FreeSWITCH, l’impatto può essere molto concreto: manipolazione del traffico voce, esposizione di credenziali sensibili e possibile compromissione del server sottostante. La correzione è disponibile da ottobre 2026.
IBM Aspera Faspex: escalation di privilegi nel trasferimento file
La CVE-2026-123218 interessa IBM Aspera Faspex, con punteggio CVSS 9.8. È descritta come una vulnerabilità di autorizzazione errata che può consentire a un utente autenticato di creare un messaggio specifico per aggirare i controlli e ottenere una escalation di privilegi.
Aspera Faspex è usato in contesti dove il trasferimento di file di grandi dimensioni è un’attività critica. Questo rende il rischio particolarmente sensibile in aziende che scambiano documentazione riservata, materiale grafico, dati tecnici o contenuti multimediali. La patch è stata rilasciata a novembre 2026.
GPUStack: accesso amministrativo non autenticato in ambienti AI
La CVE-2026-102895 colpisce GPUStack e ha punteggio CVSS 9.8. La falla consente accesso amministrativo improprio senza autenticazione, con conseguenze pesanti:
- modifiche a utenti e modelli;
- creazione persistente di chiavi API amministrative;
- divulgazione di segreti dei worker e dei cloud provider;
- esecuzione di codice tramite
POST /v2/inference-backends/from-yaml.
Questo caso merita attenzione anche nelle PMI, perché sempre più realtà sperimentano piattaforme AI interne, GPU condivise o strumenti per inferenza locale senza considerarli parte del perimetro critico. La patch era disponibile già dal 31 luglio 2026 e i manutentori del pacchetto Python GPUStack hanno indicato che esistevano già segnalazioni di sfruttamento attivo nel mondo reale.
Perché queste notizie riguardano anche una PMI italiana
Spesso si pensa che avvisi CISA e cataloghi KEV interessino solo grandi enti o infrastrutture governative. In realtà, molte campagne automatiche colpiscono indiscriminatamente tutto ciò che è esposto su Internet.
Per una PMI italiana, il punto non è se un attaccante vi stia “cercando” personalmente. Il punto è che:
- i server SSH esposti vengono scandagliati in modo continuo;
- i centralini VoIP sono obiettivi appetibili perché consentono impatti immediati e monetizzabili;
- i sistemi di file transfer contengono spesso dati sensibili di clienti, fornitori e partner;
- le nuove piattaforme AI vengono talvolta installate rapidamente, senza lo stesso rigore applicato ai sistemi tradizionali.
In altre parole, queste vulnerabilità toccano quattro aree molto comuni del business IT: accesso remoto, comunicazioni, scambio file e infrastrutture innovative.
Cosa significa per la tua azienda
La priorità non è leggere il bollettino, ma trasformarlo in azioni pratiche entro poche ore o pochi giorni.
1. Verifica subito se usi i prodotti coinvolti
Fai un controllo rapido su:
- server Linux raggiungibili via SSH;
- centralini o piattaforme VoIP basati su FreeSWITCH;
- installazioni IBM Aspera Faspex;
- ambienti GPUStack o piattaforme AI interne simili.
Se non hai un inventario aggiornato degli asset, questo è il primo problema da risolvere. Senza sapere cosa hai in produzione, non puoi gestire bene il rischio.
2. Applica le patch disponibili
Tutte e quattro le vulnerabilità citate hanno una correzione già rilasciata:
- FreeSWITCH: ottobre 2026
- OpenSSH: novembre 2026
- IBM Aspera Faspex: novembre 2026
- GPUStack: luglio 2026
Se l’aggiornamento immediato non è possibile, serve almeno una misura temporanea di contenimento: limitazione degli accessi, segmentazione, disattivazione dell’esposizione Internet o blocco tramite firewall/VPN.
3. Controlla i log per segnali di compromissione
Nel caso di OpenSSH, le attività osservate dagli analisti danno indicazioni precise su cosa cercare:
- modifiche sospette a
authorized_keys; - tentativi di accesso anomali;
- interrogazioni ai metadata service in ambienti cloud;
- lettura di file sensibili come hash password o chiavi SSH;
- esecuzione di processi o script Python inattesi.
Se manca un monitoraggio centralizzato, è il momento di strutturarlo. La prevenzione da sola non basta quando lo sfruttamento è già in corso.
4. Riduci l’esposizione dei servizi amministrativi
SSH, console di amministrazione, API di gestione e pannelli VoIP non dovrebbero essere esposti in modo aperto su Internet, salvo casi realmente necessari. Dove possibile:
- abilita accessi tramite VPN;
- limita gli IP autorizzati;
- separa gli ambienti amministrativi dalla rete utente;
- usa credenziali forti e rotazione delle chiavi.
5. Prepara ripristino e continuità operativa
Se una compromissione porta a cancellazioni, cifratura o manomissione di sistemi, il tempo di ripresa dipende dalla qualità dei backup e delle procedure di recovery. Per questo ha senso verificare non solo che i backup esistano, ma che siano ripristinabili e isolati. Su questo fronte può essere utile una soluzione di remote backup.
6. Formalizza la gestione continua delle patch
Queste notizie mostrano un problema ricorrente: le patch escono, ma i sistemi restano scoperti troppo a lungo. Per molte aziende il vero rischio non è l’assenza di strumenti, ma la mancanza di processo.
Serve una routine chiara per:
- censire i sistemi;
- classificare la criticità;
- monitorare gli avvisi di sicurezza;
- testare e distribuire aggiornamenti;
- verificare esito e conformità.
Se l’infrastruttura interna è limitata, conviene affidarsi a un supporto continuativo di desktop e infrastruttura IT management o a contratti di assistenza informatica con SLA definiti.
Un segnale più ampio: anche l’IT “non tradizionale” va governato
Questa tornata di vulnerabilità è interessante anche per un altro motivo: non riguarda solo sistemi “classici”. Accanto a OpenSSH troviamo infatti strumenti di AI infrastrutturale e piattaforme di comunicazione specialistiche.
È un promemoria importante per imprenditori e responsabili d’ufficio: oggi il perimetro IT non coincide più con PC, file server e Microsoft 365. Include anche strumenti pilota, appliance, servizi cloud verticali, software open source adottati dai team tecnici e piattaforme nate per accelerare progetti innovativi.
Se questi sistemi vengono installati senza inventario, policy e controlli, diventano un punto debole perfetto: spesso sono meno monitorati, meno aggiornati e più esposti di quanto si creda.
Domande frequenti
Se uso Linux devo preoccuparmi automaticamente?
No, ma devi verificare subito se i tuoi server usano la versione vulnerabile di OpenSSH e se sono esposti o accessibili dall’esterno. Il rischio aumenta molto in presenza di accesso SSH pubblico.
Se ho già la VPN posso stare tranquillo?
La VPN riduce l’esposizione, ma non sostituisce le patch. Se il servizio vulnerabile resta raggiungibile o già compromesso, la sola VPN non basta.
Le PMI sono davvero un bersaglio per questo tipo di falle?
Sì. Molti attacchi sono automatizzati e cercano sistemi vulnerabili su Internet senza distinguere tra grande impresa e piccola azienda. Chi è scoperto entra semplicemente nella lista dei bersagli più facili.