Patch in giorni, non in stagioni: come mantenere aggiornata l’infrastruttura nell’era dell’AI

I ricercatori di sicurezza trovano vulnerabilità più in fretta che mai, e gran parte del merito è dell’AI. I modelli di AI leggono il codice sorgente, generano input di test su larga scala e segnalano pattern sospetti in software che le persone hanno esaminato per anni senza notare nulla. Il risultato è una crescita costante delle vulnerabilità rese pubbliche, anche in componenti open source maturi e diffusissimi, presenti in quasi ogni infrastruttura.

Per i team IT significa ricevere più patch e più spesso, mentre gli attaccanti, con gli stessi strumenti, impiegano sempre meno tempo a trasformare ogni vulnerabilità pubblicata in un attacco funzionante. Gli ultimi dieci giorni ne sono un esempio.

Il 21 ottobre sono state rese pubbliche due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, note insieme come PHP2Shell. Nella stessa settimana è arrivata CVE-2026-114406, la compromissione di alcune autorità di certificazione gestite da eMudhra. Oggi Syneto ha rilasciato aggiornamenti di sola sicurezza: Syneto OS 5.4.5 e Syneto OS 6.0.6 correggono entrambi i problemi, così come i pacchetti PHP aggiornati e il bundle di certificati aggiornato per Syneto OS 4.8.6.

Che cosa è successo

Entrambe le vulnerabilità di PHP hanno punteggio 9.2 (Critical) secondo CVSS v4.0 e consentono l’esecuzione di codice da remoto senza autenticazione: chiunque riesca a raggiungere il web server può eseguirvi codice. Riguardano PHP-FPM, che fa funzionare parti dell’interfaccia di gestione di Syneto OS in tutte le linee di Syneto OS. Nel giro di cinque giorni la CISA le ha inserite entrambe nel suo catalogo delle vulnerabilità sfruttate attivamente (Known Exploited Vulnerabilities).

Il caso eMudhra è di natura diversa: è emerso che le chiavi di diverse sue autorità di certificazione potevano essere recuperate, quindi chi le possedeva poteva emettere un certificato credibile per qualsiasi sito web. Gli aggiornamenti di oggi revocano la fiducia in quelle autorità.

Nessuno dei due problemi era nel codice di Syneto. Hypervisor, sistemi di storage, firewall e appliance di backup si basano tutti sugli stessi componenti open source: il kernel Linux, OpenSSL, PHP e l’elenco delle autorità di certificazione considerate affidabili. Una vulnerabilità in uno di questi componenti si ritrova in centinaia di prodotti contemporaneamente.

Perché le patch due volte l’anno non bastano più

Molte organizzazioni aggiornano ancora l’infrastruttura principale in una o due finestre pianificate all’anno. Aveva senso quando servivano mesi perché comparisse un exploit. Oggi un modello di AI può confrontare una release corretta con quella precedente e capire che cosa è stato sistemato: una correzione pubblicata diventa in fretta un attacco funzionante. Con le patch due volte l’anno, un sistema passa gran parte del tempo tra una finestra e l’altra con una vulnerabilità nota e sfruttata attivamente.

Il compromesso, oggi, è semplice. Da una parte c’è un aggiornamento: pochi minuti per un hotfix come questo, qualche decina di minuti quando serve un riavvio. Dall’altra, una porta lasciata aperta sul sistema più importante.

Syneto OS è la piattaforma universale e resiliente per la gestione dei dati, con architettura HCI: un solo sistema fa girare le macchine virtuali, ne conserva i dati e li protegge. Questo lo rende un bersaglio di valore, ma significa anche un solo ciclo di aggiornamento e una sola console, invece di cicli separati per hypervisor, storage array e software di backup.

Come ridurre l’esposizione

Verifica se riesci ad aggiornare in fretta. Chiediti con onestà quanto tempo servirebbe al tuo team per distribuire una correzione critica su tutti i sistemi che gestisce, e che cosa lo rallenterebbe: competenze, accessi, finestre di manutenzione o approvazioni. Assicurati che chiunque gestisca l’infrastruttura capisca il rischio di lasciare i sistemi non aggiornati. Se in azienda mancano le competenze o il tempo, affidati a un system integrator che possa occuparsene.

Riduci ciò che gli attaccanti possono vedere. Tieni le console di gestione fuori da internet, dietro una VPN o una allow-list di indirizzi IP. Non sostituisce le patch, ma fa guadagnare tempo. Per scoprire che cosa è davvero esposto, Orizon, partner di Syneto, offre RECON Essentials: una scansione esterna della superficie di attacco che individua sottodomini dimenticati, porte aperte, le versioni software che ci girano dietro, le relative CVE note e configurazioni DNS ed e-mail deboli. I system integrator possono usarla sui domini dei propri clienti per trovare console che non avrebbero mai dovuto essere pubbliche.

Accelera il passaggio a Syneto OS 6. Syneto OS 4 è ancora mantenuto, come dimostra l’aggiornamento di oggi, ma si basa su tecnologie che il settore sta progressivamente abbandonando, e questo rende ogni correzione più difficile da realizzare. Syneto OS 6 si basa su tecnologie attuali e aggiunge funzionalità che Syneto OS 4 non ha. Se tu o i tuoi clienti usate ancora Syneto OS 4, pianificate il passaggio adesso, invece di aspettare la prossima vulnerabilità critica.

Rendi le patch un’attività di routine:

• Iscriviti agli avvisi di sicurezza di tutti i vendor della tua infrastruttura.
• Mantieni una finestra di manutenzione mensile fissa, così un aggiornamento urgente diventa lavoro ordinario, non un progetto.
• Quando una vulnerabilità entra nel catalogo della CISA, applica la patch entro pochi giorni.
• Tieni un unico elenco delle versioni installate su ciascun sistema.
• Dopo l’aggiornamento, verifica la versione, i servizi e l’accesso alla console.

Cosa fare adesso

Aggiorna Syneto OS 5.x alla 5.4.5 e Syneto OS 6.x alla 6.0.6, e applica gli aggiornamenti di PHP e del bundle di certificati sulla 4.8.6. Per domande o per pianificare un aggiornamento, contatta l’assistenza Syneto.

Fonti: php.net security advisory · Rapid7 · Tenable FAQ · Rocky Linux RLSA-2026:88459 · eMudhra incident page