CISA e FBI lanciano l’allarme sui frigoriferi industriali: AWS interviene sulle falle APT e GluonTS

📌 In sintesi

• CISA e FBI confermano attività informatiche ostili contro la refrigerazione industriale. Cinque agenzie federali americane chiedono di proteggere controllori delle temperature, celle frigorifere e sistemi di monitoraggio della catena del freddo utilizzati nella sanità, nell’industria alimentare e nei trasporti.
• AWS estende l’allerta sulla vulnerabilità CVE-2026-109518. La falla di APT consente, in determinate condizioni, di installare pacchetti non verificati ed eseguire codice con privilegi root. Amazon indica aggiornamenti e interventi sui servizi cloud basati su Ubuntu e Debian.
• GluonTS presenta una vulnerabilità nell’estrazione degli archivi. CVE-2026-119083 permette di scrivere file fuori dalla directory prevista attraverso archivi tar manipolati. La correzione è disponibile dalla versione 0.17.0.

Gli attacchi informatici contro i sistemi di refrigerazione industriale diventano una questione di sicurezza delle infrastrutture critiche, mentre Amazon Web Services aggiorna le proprie indicazioni su due vulnerabilità che interessano l’ecosistema Linux e le applicazioni Python per l’intelligenza artificiale. Il 5 novembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA), il Federal Bureau of Investigation (FBI) e tre dipartimenti federali statunitensi pubblicano un’allerta congiunta sui dispositivi che controllano temperature, cicli di sbrinamento e conservazione dei prodotti sensibili. Nello stesso periodo AWS interviene sulla vulnerabilità CVE-2026-109518 del gestore pacchetti APT, già corretta da Debian e Canonical, e segnala CVE-2026-119083 nella libreria GluonTS. Sono problemi tecnicamente differenti, ma mostrano una criticità comune: l’esposizione di componenti operativi e l’assenza di controlli adeguati possono trasformare una vulnerabilità software in un’interruzione dei servizi, una compromissione dei sistemi o un danno materiale.

CISA e FBI confermano attività ostili contro la refrigerazione industriale

La scheda tecnica pubblicata dalla CISA il 5 novembre segnala attività informatiche malevole contro controllori elettronici della temperatura e sistemi di refrigerazione commerciale, utilizzati nei supermercati, nei magazzini frigoriferi e nelle infrastrutture di trasporto. L’avvertimento viene sottoscritto anche da FBI, Department of Health and Human Services (HHS), Department of Agriculture (USDA) e Department of Transportation (DOT). La partecipazione congiunta delle cinque organizzazioni evidenzia l’estensione del problema: i dispositivi interessati non servono soltanto a conservare alimenti, ma anche prodotti chimici, medicinali, materiali biologici e merci che richiedono temperature controllate durante il trasporto.

Secondo le autorità, gli aggressori prendono di mira dispositivi raggiungibili da Internet, firmware non aggiornati e configurazioni di sicurezza insufficienti, sfruttando possibilità di aggiramento dell’autenticazione, iniezione di codice e debolezze nei controlli di accesso. Una volta ottenuta la capacità di modificare i parametri operativi, possono alterare le temperature o forzare cicli continui di riscaldamento e sbrinamento, provocando deterioramento delle scorte, danni agli impianti e potenziali pericoli di incendio. L’avviso cita anche una condizione di denial-of-view, nella quale gli operatori perdono la visibilità sulle temperature effettive, rendendo più difficile identificare tempestivamente il problema.

Dall’allarme europeo alla risposta federale americana

L’intervento statunitense segue una serie di incidenti che hanno già colpito la refrigerazione commerciale e sanitaria in Europa. All’inizio di novembre sono state segnalate anomalie nei supermercati di diversi Paesi, con sistemi frigoriferi portati a temperature incompatibili con la conservazione degli alimenti. Il problema è arrivato anche in Italia, dove l’Agenzia per la Cybersicurezza Nazionale ha richiamato gli operatori della filiera del freddo dopo due episodi in Toscana ed Emilia-Romagna. Nello stesso periodo, un incidente presso un fornitore di apparecchiature ha interessato tre strutture del servizio francese del sangue, senza provocare, secondo l’ente, perdite di plasma o interruzioni delle attività sanitarie.

La novità del 5 novembre non riguarda quindi la scoperta degli attacchi, già documentati, ma la formalizzazione di una risposta congiunta delle autorità federali americane. La CISA non attribuisce pubblicamente le operazioni a un gruppo specifico e non presenta una singola vulnerabilità CVE come causa comune degli incidenti. L’obiettivo è richiamare tutte le organizzazioni che utilizzano dispositivi Operational Technology (OT), perché una vulnerabilità nei sistemi di controllo può produrre conseguenze fisiche anche quando la rete informatica amministrativa continua a funzionare normalmente.

Leggi anche: Cyberattacco ai frigoriferi del sangue in Francia: colpiti tre siti EFS, ma il plasma è salvo

La CISA chiede di eliminare l’esposizione Internet e isolare i sistemi OT

Le indicazioni operative delle cinque agenzie sono particolarmente rigorose. I controllori industriali non devono essere esposti direttamente a Internet, mentre gli accessi remoti indispensabili devono essere protetti attraverso apparati aggiornati, autenticazione robusta e limitazioni degli indirizzi autorizzati. La CISA raccomanda di separare i dispositivi OT dalle reti aziendali attraverso VLAN dedicate, eliminare le password predefinite e adottare l’autenticazione multifattore resistente al phishing dove tecnicamente possibile. La protezione comprende inoltre l’aggiornamento del firmware, la sostituzione degli apparati non più supportati, il mantenimento di backup offline e il controllo sistematico degli eventi registrati.

Un’indicazione specifica riguarda i limiti dei parametri di temperatura, definiti setpoint. Le aziende devono stabilire intervalli operativi sicuri e configurare allarmi quando i valori si discostano dalle condizioni previste. Per i dispositivi che non producono log standard, la CISA suggerisce di monitorare le comunicazioni di rete. La protezione non deve quindi limitarsi a impedire l’accesso iniziale, ma deve consentire di individuare modifiche anomale e contenere le conseguenze anche dopo un’eventuale compromissione. Il principio riguarda l’intero settore industriale: chi amministra impianti collegati a reti esterne deve verificare sia la sicurezza del collegamento sia la capacità delle apparecchiature di impedire operazioni fuori dai limiti consentiti.

AWS aggiorna l’allerta APT: CVE-2026-109518 interessa anche le infrastrutture cloud

Il secondo sviluppo riguarda CVE-2026-109518, vulnerabilità del gestore di pacchetti APT utilizzato da Debian e Ubuntu. La falla, divulgata e corretta il 4 novembre da Canonical e Debian, consente a un aggressore posizionato sul percorso di comunicazione tra il sistema e un repository di sfruttare particolari condizioni relative ai download HTTP, ai reindirizzamenti e ai tentativi automatici di ripresa. Il difetto nella gestione dei file può portare all’installazione di un pacchetto diverso da quello verificato. Poiché gli script di manutenzione dei pacchetti vengono eseguiti con privilegi elevati, il risultato può essere l’esecuzione di codice arbitrario come root.

La novità del bollettino AWS 2026-172-AWS riguarda soprattutto l’impatto sugli ambienti cloud. Amazon richiama gli amministratori delle istanze EC2, delle immagini container e dei sistemi basati su Deep Learning AMI, AWS Neuron, ParallelCluster, Parallel Computing Service, SageMaker HyperPod, Cloud9 e Lightsail. Le immagini contenenti versioni vulnerabili di APT richiedono interventi specifici, anche quando sono previsti successivi aggiornamenti delle immagini ufficiali. Un’immagine aggiornata non corregge automaticamente un’istanza già in esecuzione, per la quale rimane necessario installare la versione corretta del pacchetto.

Per Ubuntu 22.04 LTS la versione corretta è 2.4.15ubuntu0.1, per Ubuntu 24.04 LTS è 2.8.4ubuntu0.1 e per Ubuntu 26.04 LTS è 3.2.1ubuntu0.1. Debian rimanda invece al bollettino DSA-6607-1 per le versioni interessate. AWS suggerisce agli amministratori dei sistemi vulnerabili il seguente aggiornamento:

sudo apt-get update && sudo apt-get upgrade -o Acquire::Retries=0

L’opzione disabilita i tentativi automatici di ripetizione durante l’operazione indicata. Utilizzare repository HTTPS riduce le condizioni necessarie all’attacco, ma non sostituisce l’installazione della patch. Le organizzazioni che mantengono immagini Docker o container personalizzati devono ricostruirli e distribuirli nuovamente con APT aggiornato.

Leggi anche: Debian e Ubuntu, falla critica in APT: un attacco MitM può installare pacchetti malevoli ed eseguire codice come root

GluonTS, CVE-2026-119083 consente di scrivere file fuori dalla directory prevista

Il terzo bollettino riguarda GluonTS, libreria Python open source utilizzata per la modellazione probabilistica delle serie temporali, impiegabile anche in applicazioni di previsione basate sul machine learning. AWS identifica CVE-2026-119083 nella funzione di estrazione degli archivi presente nelle versioni precedenti alla 0.17.0. Secondo il bollettino 2026-171-AWS, un attaccante in grado di fornire un archivio tar opportunamente manipolato può sfruttare collegamenti simbolici o hard link per provocare la scrittura di file al di fuori della directory prevista. L’operazione viene eseguita con i privilegi del processo che effettua l’estrazione.

La vulnerabilità non implica automaticamente l’esecuzione remota di codice, ma la possibilità di modificare file arbitrari può diventare particolarmente pericolosa quando l’applicazione opera con autorizzazioni elevate o utilizza directory contenenti configurazioni e componenti eseguibili. AWS conferma che la correzione è stata introdotta in GluonTS 0.17.0, invitando gli sviluppatori ad aggiornare anche eventuali fork o versioni derivate. In assenza di un aggiornamento immediato, la mitigazione consiste nell’evitare l’estrazione di archivi provenienti da fonti non affidabili. L’utilizzo di Python 3.14 o versioni successive introduce inoltre un filtro predefinito nell’estrazione tramite TarFile.extractall() che blocca il percorso di attraversamento descritto nel bollettino, ma non sostituisce la correzione della libreria.

Continua con:

Frigoriferi industriali sotto attacco: la responsabilità non finisce con gli hacker

CISA ordina agli acquedotti di scollegare i PLC esposti da Internet

La sicurezza operativa richiede controlli lungo tutta la catena tecnologica

La risposta congiunta di CISA e FBI e i due aggiornamenti AWS evidenziano tre problemi differenti della sicurezza informatica contemporanea. Nei sistemi di refrigerazione industriale, un accesso non autorizzato può modificare direttamente le condizioni fisiche necessarie alla conservazione di prodotti alimentari e sanitari. Nei sistemi Linux, un problema nel processo di aggiornamento può compromettere il meccanismo utilizzato per mantenere sicuri server e infrastrutture cloud. Nelle applicazioni Python, l’elaborazione di archivi esterni può superare i confini della directory prevista e interferire con il filesystem.

Il punto comune è la necessità di controllare accessi, privilegi, dipendenze e processi operativi, senza considerare sufficiente la sola disponibilità delle patch. Per gli operatori industriali significa verificare l’esposizione dei dispositivi e le configurazioni dei sistemi OT; per gli amministratori cloud aggiornare le istanze e ricostruire le immagini vulnerabili; per gli sviluppatori limitare i privilegi dei processi e la fiducia attribuita ai file esterni. La differenza tra un’anomalia informatica contenuta e una compromissione dei servizi dipende sempre più dalla capacità di impedire che un singolo componente vulnerabile possa produrre conseguenze sull’intero sistema.