Controllori Siemens: perché la versione Linux è decisiva
Gli avvisi attuali del produttore riguardano sistemi aggiuntivi di alcuni dispositivi SIMATIC. Le aziende svizzere devono verificare modello, firmware e interfacce raggiungibili: un avviso non è ancora la prova di un attacco.
L'agenzia statunitense per la cybersicurezza CISA ha ulteriormente diffuso il 22 ottobre 2026 un avviso di sicurezza relativo a sistemi GNU/Linux aggiuntivi di alcuni controllori SIMATIC S7-1500. Alla base c'è un documento Siemens del 13 ottobre. Sono interessate, tra le altre, varianti della CPU 1518(F)-4 PN/DP MFP. Determinante è la versione esatta del firmware: il nuovo avviso SSA-457936 riguarda la versione V3.1.7, altri documenti si riferiscono a versioni precedenti. Dalla sola famiglia di modelli non si può dedurre se un impianto sia interessato.
Per le aziende industriali svizzere è quindi innanzitutto necessaria una ricognizione dell'esistente. Un avviso su vulnerabilità software non è la prova che una macchina sia già stata manipolata. Allo stesso modo non dimostra che i componenti interessati siano installati in una determinata azienda svizzera o siano raggiungibili dall'esterno. A queste domande devono rispondere i responsabili sul posto.
Il sistema aggiuntivo non è l'intero controllore
Il produttore definisce espressamente l'ambito interessato come sottosistema GNU/Linux aggiuntivo. Questa delimitazione non deve andare persa in un titolo. Chi ne deduce un guasto generalizzato di tutti i controllori S7-1500 confonde prodotti, versioni software e superfici d'attacco diverse.
Conta anche la collocazione temporale. L'avviso SSA-398330 è stato pubblicato originariamente nel dicembre 2023 e aggiornato da ultimo il 13 ottobre 2026. Riguarda firmware dalla V3.1.0 fino a prima della V3.1.5. Un nuovo giorno di pubblicazione non significa quindi necessariamente che ogni vulnerabilità elencata sia stata appena scoperta.
La CISA indica la propria pubblicazione come ripresa letterale dell'avviso Siemens. Non si tratta dunque di una seconda analisi indipendente. Un avviso CISA separato riguarda il sottosistema GNU/Linux aggiuntivo del TM MFP V1.1.1. Le sue indicazioni di versione non vanno trasferite alle varianti di CPU.
Per la V3.1.5 Siemens segnala ormai la fine del supporto di questa versione. Un elenco di errori non più aggiornato non equivale a un allarme rientrato. Per gli operatori ne deriva il compito di chiarire il ciclo di vita del software impiegato insieme al fornitore, invece di limitarsi a confrontare il numero degli avvisi più recenti.
Dare priorità invece di aggiornare alla cieca
Nell'avviso per la V3.1.7 Siemens dichiara di stare preparando ulteriori correzioni. Come concreta riduzione del rischio il produttore indica di eseguire solo applicazioni provenienti da fonti attendibili e di limitare l'accesso alla riga di comando Linux interattiva a personale fidato. Non è un'autorizzazione generale a proseguire l'esercizio in qualsiasi condizione.
Anche le valutazioni hanno bisogno della loro scala: per SSA-457936 Siemens indica un valore base massimo di 10,0 secondo CVSS 3.1 e di 8,7 secondo CVSS 4.0. Sono sistemi di valutazione diversi. Le due cifre non dimostrano quindi un'attenuazione successiva della stessa situazione.
Una verifica sensata collega tre livelli: quale componente è presente? Quale vulnerabilità colpisce esattamente questa versione? E quali condizioni di accesso esistono realmente? Solo da qui deriva una priorità solida. Un elevato grado di gravità tecnica da solo non descrive né l'architettura della rete operativa né le conseguenze di un'interruzione programmata per manutenzione.
Le raccomandazioni svizzere partono dall'inventario
Nelle sue raccomandazioni di protezione l'Ufficio federale per la cybersicurezza (BACS) chiede una panoramica completa dei dispositivi industriali, dei sistemi di contorno e dei terminali. A questo si aggiunge un inventario software con manutenzione sistematica degli aggiornamenti e dei cicli di vita dei prodotti. Senza questa base resta poco chiaro chi sia effettivamente interessato da un concreto avviso del produttore.
Il BACS raccomanda inoltre di separare le reti industriali dalle reti d'ufficio o di isolarle con zone di sicurezza definite. Le interfacce di amministrazione non dovrebbero essere raggiungibili direttamente da Internet. Per gli accessi remoti l'autorità indica VPN e autenticazione a due fattori. Queste misure non sostituiscono la correzione di una vulnerabilità, ma possono limitare le vie d'attacco raggiungibili.
Proprio gli accessi per la manutenzione meritano attenzione. Vengono creati per uno scopo operativo legittimo, ma restano punti di passaggio rilevanti per la sicurezza. In caso di accessi remoti il BACS segnala tra l'altro credenziali rubate e punti di accesso non protetti. Controlli tecnici e regole organizzative chiare devono quindi agire insieme.
Alla preparazione appartiene anche un ripristino verificato. Il BACS raccomanda processi di backup chiari e test del ripristino almeno ogni sei mesi. Anche le configurazioni dovrebbero essere salvate. Un backup esistente da solo non dimostra ancora che, dopo un errore, la configurazione corretta dell'impianto sia di nuovo disponibile in tempo.
Pianificare insieme disponibilità e sicurezza
Per gli ambienti industriali il portale PMI della Confederazione sottolinea che occorre dapprima rilevare l'intera dotazione tecnica, le versioni del firmware e i collegamenti di rete. Seguono poi la segmentazione e le restrizioni di accesso. Un semplice elenco dei programmi da ufficio installati non basta per questo compito.
In pratica esercizio, automazione e IT dovrebbero definire insieme chi valuta un avviso, chi contatta il produttore e come viene testata una modifica. Una ripartenza documentata fa parte della stessa pianificazione. Così un avviso generale diventa una decisione verificabile per il proprio impianto, senza allarmi non comprovati e senza pericoloso autoconvincimento.
Fonti
- Siemens ProductCERT: SSA-457936 per il firmware V3.1.7
- Siemens ProductCERT: SSA-398330 per versioni firmware precedenti
- Siemens ProductCERT: SSA-082556 per il firmware V3.1.5
- CISA: ICSA-26-295-11, ripubblicazione del 22 ottobre 2026
- CISA: ICSA-26-295-16 per il sottosistema TM MFP
- BACS: misure per la protezione dei sistemi di controllo industriali
- BACS: uso sicuro degli accessi remoti
- Portale PMI della Confederazione: protezione dell'ambiente industriale
