Cisa ritira 10 direttive di emergenza cyber mentre Cisco e Coolify corrono ai ripari

0

Cisa Emergency Directives è al centro di una delle decisioni più rilevanti degli ultimi anni per la cybersecurity federale statunitense, con il ritiro simultaneo di dieci direttive di emergenza mentre BOD 22-01, catalogo KEV, Cisco ISE, switch Cisco CBS e Catalyst e Coolify definiscono un nuovo equilibrio operativo tra mitigazione immediata e gestione strutturata delle vulnerabilità. La mossa, annunciata l’8 gennaio 2026, ridisegna le priorità di patching per le agenzie federali proprio mentre il settore privato affronta bug firmware e falle critiche che espongono reti e server a compromissioni concrete.

Cisa chiude dieci direttive di emergenza e cambia il modello di risposta

Il ritiro coordinato di dieci Emergency Directives da parte della Cybersecurity and Infrastructure Security Agency rappresenta un evento raro nel panorama della sicurezza istituzionale statunitense. Le direttive, emesse tra il 2019 e il 2024, erano nate come misure straordinarie per fronteggiare minacce urgenti e attivamente sfruttate, in un contesto in cui i tempi di reazione delle agenzie federali civili risultavano incompatibili con la velocità delle campagne di attacco. La decisione di archiviarle in blocco non equivale a un abbassamento della guardia, ma segna il completamento delle azioni correttive richieste e la loro integrazione in un quadro normativo più stabile.

Il perno di questa transizione è la Binding Operational Directive 22-01, che ha introdotto un meccanismo centralizzato per la gestione delle vulnerabilità note sfruttate, oggi formalizzato nel catalogo Known Exploited Vulnerabilities (KEV). Attraverso questo strumento, Cisa impone scadenze precise per il patching, con finestre che arrivano fino a sei mesi per CVE pre-2021 e si riducono drasticamente, fino a due settimane o meno, per vulnerabilità recenti e ad alto rischio. Le Emergency Directives ritirate, pur avendo affrontato casi emblematici come tampering DNS, Netlogon o la compromissione SolarWinds Orion, risultano ora ridondanti rispetto a un modello che promette maggiore coerenza e prevedibilità.

• ED 19-01: Mitigate DNS Infrastructure Tampering     
• ED 20-02: Mitigate Windows Vulnerabilities from January 2020 Patch Tuesday   
• ED 20-03: Mitigate Windows DNS Server Vulnerability from July 2020 Patch Tuesday 
• ED 20-04: Mitigate Netlogon Elevation of Privilege Vulnerability from August 2020 Patch Tuesday  
• ED 21-01: Mitigate SolarWinds Orion Code Compromise   
• ED 21-02: Mitigate Microsoft Exchange On-Premises Product Vulnerabilities  
• ED 21-03: Mitigate Pulse Connect Secure Product Vulnerabilities 
• ED 21-04: Mitigate Windows Print Spooler Service Vulnerability 
• ED 22-03: Mitigate VMware Vulnerabilities  
• ED 24-02: Mitigating the Significant Risk from Nation-State Compromise of Microsoft Corporate Email System  

Questa razionalizzazione alleggerisce il carico amministrativo sulle agenzie federali, che non devono più gestire direttive isolate e temporanee, ma seguire un’unica roadmap basata sul rischio reale e sull’evidenza di sfruttamento. Al tempo stesso, Cisa rafforza il proprio ruolo di coordinamento, spostando l’attenzione dalla gestione emergenziale alla disciplina continua del patching.

Il catalogo KEV come nuova spina dorsale del patching federale

Il catalogo KEV non è un semplice elenco di CVE, ma uno strumento operativo che traduce l’intelligence sulle minacce in obblighi concreti. Integrando le vulnerabilità già coperte dalle Emergency Directives ritirate, Cisa consolida in un unico punto di riferimento le priorità di mitigazione per l’intero perimetro federale civile. Questo approccio riduce il rischio di sovrapposizioni e consente una risposta più rapida quando emergono nuovi exploit attivi.

Nel modello KEV, la tempistica non è un dettaglio secondario ma l’elemento centrale. Le scadenze rigide costringono le agenzie a trattare il patching come un processo continuo e misurabile, piuttosto che come una reazione episodica a singoli incidenti mediatici. In questo senso, il ritiro delle direttive di emergenza assume un valore simbolico: la gestione delle vulnerabilità non è più un’eccezione, ma una routine obbligatoria.

Questa impostazione ha implicazioni che vanno oltre il perimetro pubblico. Molte organizzazioni private guardano al KEV come a un indicatore affidabile delle priorità di rischio, adottandolo informalmente per orientare le proprie attività di remediation. La scelta di Cisa rafforza quindi un trend già in atto, in cui la distinzione tra best practice governative e aziendali si assottiglia sotto la pressione delle minacce comuni.

Cisco e il bug DNS che manda in crisi gli switch di rete

Mentre Cisa razionalizza il proprio arsenale normativo, il mondo enterprise si confronta con problemi operativi immediati. Un bug nel client DNS interno di diversi switch Cisco ha innescato, a partire dalle prime ore dell’8 gennaio 2026, loop di riavvio continui che hanno causato interruzioni significative in ambienti produttivi. Il difetto colpisce modelli diffusi come CBS250, CBS350, SG350, SG350X, SG550X e Catalyst C1200, evidenziando quanto un singolo errore firmware possa avere un impatto sistemico.

Gli switch coinvolti trattano alcuni fallimenti di risoluzione DNS come errori fatali, generando log che segnalano l’impossibilità di risolvere nomi come www.cisco.com o server NTP configurati. Il risultato è un riavvio automatico che può ripetersi ogni pochi minuti, rendendo instabile l’intero segmento di rete. La natura del trigger, che molti amministratori sospettano essere globale o basata su condizioni temporali, ha alimentato la preoccupazione, soprattutto perché i server DNS locali risultano spesso perfettamente funzionanti.

In assenza di una patch immediata, la comunità tecnica ha individuato workaround efficaci ma invasivi, come la disabilitazione della risoluzione DNS o della sincronizzazione SNTP sulle interfacce di management. Queste soluzioni permettono di fermare il loop di reboot, ma evidenziano una fragilità strutturale nella gestione firmware dei dispositivi di rete, che si traduce in rischi di downtime difficilmente accettabili per ambienti critici.

Le patch Cisco per ISE e Snort tra disclosure e denial-of-service

Parallelamente al problema sugli switch, Cisco ha rilasciato aggiornamenti di sicurezza per affrontare vulnerabilità in Identity Services Engine e in Snort 3 Detection Engine. La falla più rilevante in Cisco ISE, identificata come CVE-2026-20029 con punteggio CVSS 4.9, riguarda un parsing XML improprio nella feature di licensing. Un attaccante autenticato con privilegi amministrativi può sfruttare il difetto per leggere file sensibili dal sistema operativo sottostante, aggirando i controlli di accesso dell’interfaccia web.

Sebbene Cisco dichiari di non aver osservato exploit attivi in the wild, la disponibilità di proof-of-concept pubblici rende la vulnerabilità particolarmente delicata. Non esistono workaround alternativi all’aggiornamento, il che obbliga le organizzazioni a pianificare patch rapide, soprattutto in contesti in cui ISE gestisce autenticazione e policy di accesso a infrastrutture critiche.

Anche Snort 3 è interessato da vulnerabilità che consentono denial-of-service e disclosure di informazioni attraverso richieste DCE/RPC appositamente costruite. I prodotti coinvolti includono Secure Firewall Threat Defense, IOS XE Software e componenti dell’ecosistema Meraki, ampliando il perimetro potenzialmente esposto. Nel complesso, questi rilasci confermano come Cisco resti un obiettivo privilegiato per i ricercatori e, di conseguenza, per gli attori malevoli.

Coolify e le undici vulnerabilità che aprono la porta al root

Se le problematiche Cisco colpiscono soprattutto infrastrutture enterprise, il caso Coolify mette in luce i rischi crescenti del self-hosting open source. Coolify ha divulgato undici vulnerabilità critiche che, combinate, consentono bypass di autenticazione, esecuzione di codice remoto e compromissione completa dei server. Alcune di queste falle raggiungono CVSS 10.0 e permettono a utenti con privilegi limitati di eseguire comandi come root attraverso injection in funzionalità di backup, import database, proxy dinamici e file docker-compose.

• CVE-2025-66209 (punteggio CVSS: 10.0) – Una vulnerabilità di iniezione di comandi nella funzionalità di backup del database consente a qualsiasi utente autenticato con autorizzazioni di backup del database di eseguire comandi arbitrari sul server host, con conseguente fuga del contenitore e compromissione completa del server
• CVE-2025-66210 (punteggio CVSS: 10,0) – Una vulnerabilità di iniezione di comandi autenticati nella funzionalità di importazione del database consente agli aggressori di eseguire comandi arbitrari sui server gestiti, portando alla compromissione completa dell’infrastruttura
• CVE-2025-66211 (punteggio CVSS: 10.0) – Una vulnerabilità di iniezione di comandi nella gestione degli script di inizializzazione di PostgreSQL consente agli utenti autenticati con autorizzazioni di database di eseguire comandi arbitrari come root sul server
• CVE-2025-66212 (punteggio CVSS: 10.0) – Una vulnerabilità di iniezione di comandi autenticati nella funzionalità di configurazione del proxy dinamico consente agli utenti con autorizzazioni di gestione del server di eseguire comandi arbitrari come root sui server gestiti
• CVE-2025-66213 (punteggio CVSS: 10.0) – Una vulnerabilità di iniezione di comandi autenticati nella funzionalità File Storage Directory Mount consente agli utenti con autorizzazioni di gestione di applicazioni/servizi di eseguire comandi arbitrari come root sui server gestiti
• CVE-2025-64419 (punteggio CVSS: 9,7) – Una vulnerabilità di iniezione di comandi tramite docker-compose.yaml che consente agli aggressori di eseguire comandi di sistema arbitrari come root sull’istanza Coolify
• CVE-2025-64420 (punteggio CVSS: 10.0) – Una vulnerabilità di divulgazione di informazioni che consente agli utenti con privilegi bassi di visualizzare la chiave privata dell’utente root sull’istanza Coolify, consentendo loro di ottenere accesso non autorizzato al server tramite SSH e di autenticarsi come utente root utilizzando la chiave
• CVE-2025-64424 (punteggio CVSS: 9,4) – È stata rilevata una vulnerabilità di iniezione di comandi nei campi di input della sorgente git di una risorsa, che consente a un utente con privilegi bassi (membro) di eseguire comandi di sistema come root sull’istanza Coolify
• CVE-2025-59156 (punteggio CVSS: 9,4) – Una vulnerabilità di iniezione di comandi del sistema operativo che consente a un utente con privilegi bassi di iniettare direttive Docker Compose arbitrarie e ottenere l’esecuzione di comandi a livello di root sull’host sottostante
• CVE-2025-59157 (punteggio CVSS: 10,0) – Una vulnerabilità di iniezione di comandi del sistema operativo che consente a un utente normale di iniettare comandi shell arbitrari che vengono eseguiti sul server sottostante utilizzando il campo Git Repository durante la distribuzione
• CVE-2025-59158 (punteggio CVSS: 9,4) – Una codifica o un escape non corretto dei dati che consente a un utente autenticato con privilegi bassi di condurre un attacco cross-site scripting (XSS) archiviato durante la creazione del progetto, che viene eseguito automaticamente nel contesto del browser quando un amministratore tenta in seguito di eliminare il progetto o la risorsa associata.

Le versioni interessate coprono un ampio arco di release beta fino alla 4.0.0-beta.448, con correzioni distribuite progressivamente in aggiornamenti successivi. Il dato più allarmante è la superficie di esposizione: oltre 52.890 host risultavano accessibili pubblicamente, con concentrazioni significative in Germania, Stati Uniti e Francia. Anche in questo caso, non sono stati osservati exploit attivi su larga scala, ma la natura delle vulnerabilità rende il rischio immediato e concreto.

Il caso Coolify evidenzia una dinamica ricorrente nel self-hosting: la flessibilità operativa si accompagna a una responsabilità diretta nella gestione degli aggiornamenti. Senza patching tempestivo, l’impatto di una singola CVE può tradursi in una compromissione totale dell’infrastruttura.

Domande frequenti su Cisa Emergency Directives