Aggiornamenti e software obsoleto

Modulo 5: Dispositivi, software e rete · Tempo di lettura: 10 minuti

Obiettivo della lezione: Al termine di questa lezione saprà impostare una politica di aggiornamento per sistemi operativi, app, plugin, router e altri dispositivi, e spiegare cosa significa "fine del supporto" e cosa fare in quel caso.
Concetti chiave: vulnerabilità, patch, zero-day, aggiornamenti automatici, firmware, plugin, inventario, fine del supporto (end of life), dispositivo periferico (edge device)

Un aggiornamento è una serratura che aggiunge

Il software contiene errori. Alcuni errori sono solo fastidiosi (un pulsante che non funziona), altri costituiscono una vulnerabilità: un errore che permette a un aggressore di fare qualcosa che non dovrebbe essere possibile, come accedere senza password o far eseguire codice proprio. Chi sviluppa il software risolve il problema con una patch, che Lei riceve sotto forma di aggiornamento.

Il punto critico sta nell'ordine degli eventi. Non appena un aggiornamento viene pubblicato, la vulnerabilità diventa di fatto pubblica. Gli aggressori confrontano la vecchia e la nuova versione, individuano cosa è stato corretto e costruiscono un attacco su quella base. Dopodiché effettuano scansioni automatiche di tutta la rete alla ricerca di dispositivi che non hanno ancora installato l'aggiornamento. È esattamente l'attacco opportunistico descritto nella lezione 1.1: non cercano Lei in particolare, cercano chiunque sia rimasto indietro.

Uno zero-day è una vulnerabilità già sfruttata attivamente prima ancora che esista una patch. In questi casi si può fare poco, se non seguire le indicazioni del produttore e limitare i danni (backup, privilegi minimi). Ma la grande maggioranza delle intrusioni nelle piccole imprese avviene tramite vulnerabilità per le quali l'aggiornamento era già disponibile da tempo.

Il Digital Trust Center olandese, oggi parte dell'NCSC olandese, ha rilevato nel 2024, nella sua CyberVeilig Check, che oltre un'impresa su tre (36%) non aveva attivato gli aggiornamenti automatici su tutti i propri dispositivi connessi a internet. L'indicazione dell'NCSC olandese è semplice: non aspetti ad aggiornare, e attivi gli aggiornamenti automatici ovunque sia possibile.

Cosa possiede davvero? L'inventario

Non può aggiornare ciò che ha dimenticato di avere. La maggior parte delle imprese, pensando agli aggiornamenti, pensa a laptop e telefoni, ma i dispositivi più pericolosi sono spesso quelli silenziosi:

I dispositivi collegati direttamente a internet e raggiungibili dall'esterno (router, server VPN, NAS con accesso remoto, telecamera) vengono chiamati dispositivi periferici (edge devices). Sono i bersagli più frequenti, perché un aggressore può raggiungerli senza bisogno che un dipendente clicchi su nulla. Un esempio anonimizzato: uno studio commercialista aveva un NAS con l'accesso "da qualsiasi luogo" attivato. Il produttore ha rilasciato un aggiornamento di sicurezza, lo studio non lo ha installato, e qualche settimana dopo tutti i file sul NAS erano criptati. Nessuno aveva cliccato su nulla.

Una politica di aggiornamento in cinque regole

Una politica non deve essere un documento di dieci pagine. Per una piccola impresa funzionano queste regole:

1. Automatico ovunque possibile. Attivi gli aggiornamenti automatici per sistemi operativi, browser, app, e dove possibile per CMS, plugin e per il firmware di router e NAS.
2. Il riavvio fa parte del processo. Molti aggiornamenti funzionano solo dopo un riavvio. Si accordi affinché tutti riavviino almeno una volta alla settimana, e non rimandi un riavvio per settimane.
3. Prima i dispositivi periferici. Per i dispositivi raggiungibili dall'esterno: verifichi personalmente se ci sono aggiornamenti, ad esempio una volta al mese, e installi un aggiornamento di sicurezza entro pochi giorni. Se il produttore o l'ACN segnalano uno sfruttamento attivo, lo faccia lo stesso giorno.
4. Un responsabile per ogni dispositivo. Nell'inventario, per ogni riga, indichi chi lo aggiorna: Lei stesso, un collega, la Sua azienda IT o chi ha realizzato il sito. Se non è indicato nessuno, non lo farà nessuno.
5. Ciò che non serve più va rimosso. Un plugin che non usa, un vecchio laptop in armadio ancora collegato alla rete, un sito di prova su un sottodominio: lo rimuova, così non dovrà nemmeno aggiornarlo.

Ha dei dubbi che un aggiornamento possa rompere qualcosa? Faccia prima un backup (modulo 6) e poi aggiorni. Non installare un aggiornamento per paura di problemi è quasi sempre il rischio maggiore.

Fine del supporto: quando non arrivano più aggiornamenti

Ogni versione di software o firmware ha una data di fine vita. Dopo quella data, il produttore non rilascia più aggiornamenti di sicurezza. Questo si chiama fine del supporto (end of life, EOL). Il dispositivo continua a funzionare normalmente, ed è proprio questo l'aspetto ingannevole: nessuno se ne accorge, mentre ogni nuova vulnerabilità resta aperta per sempre.

Esempi:

• Windows 10. Il supporto ordinario è terminato il 14 ottobre 2025. Da allora arrivano solo aggiornamenti di sicurezza tramite il programma ESU di Microsoft, con date di fine che variano in base alla situazione. Consulti il sito di Microsoft per sapere cosa vale per i Suoi dispositivi, e pianifichi il passaggio a una versione supportata o a un altro dispositivo.
• PHP e altri linguaggi per siti web. Ogni versione di PHP riceve aggiornamenti di sicurezza per qualche anno. Se il Suo sito gira su una versione vecchia, il server potrebbe essere sicuro, ma il Suo sito no.
• Router, NAS e telecamere. I dispositivi economici ricevono talvolta aggiornamenti firmware solo per pochi anni, a volte mai. L'ACN consiglia di informarsi prima dell'acquisto su quanto a lungo il produttore supporterà il dispositivo, e di sostituire i dispositivi che non ricevono più aggiornamenti.
• Plugin e temi. Un plugin il cui sviluppatore ha smesso di lavorarci non riceve più correzioni. Cerchi un sostituto.

Se non può sostituire subito qualcosa, limiti il rischio: lo scolleghi da internet, lo collochi in una rete separata (lezione 5.3), e non gli dia accesso a dati importanti.

Aggiornare in sicurezza: solo tramite i canali ufficiali

Anche gli aggressori sfruttano la parola "aggiornamento". Un pop-up su un sito web "Il Suo browser è obsoleto, scarichi qui l'aggiornamento" o un'e-mail "installi l'aggiornamento di sicurezza in allegato" sono quasi sempre malware. Gli aggiornamenti veri arrivano tramite il sistema operativo, lo store delle app, la funzione di aggiornamento nel programma stesso o il sito web del produttore. Mai tramite un link in un'e-mail o un pop-up su un sito qualsiasi.

Nella pratica: ecco come si presenta

Con un pacchetto di hosting con DirectAdmin, come quello di WebOké, può scegliere la versione PHP del Suo sito tramite Select PHP version. Se desidera fare prima un backup prima di aggiornare il sito o i plugin, può farlo ad esempio in Installatron con il pulsante Back-up, dopodiché, in caso di problemi, può ripristinare la versione precedente. Presso altri fornitori funziona in modo analogo: cerchi "versione PHP" e la funzione di backup o staging del Suo CMS.

Per computer e telefoni la funzione di aggiornamento si trova nelle impostazioni del sistema operativo. Per il Suo router controlli la pagina di gestione (l'indirizzo è indicato nel manuale o sull'adesivo del router) oppure l'app del Suo fornitore.

Riepilogo

• Un aggiornamento chiude una vulnerabilità nota; dopo la sua pubblicazione, gli aggressori effettuano scansioni di internet alla ricerca di chi è rimasto indietro.
• Crei un inventario, includendo anche router, NAS, stampante, telecamere, sito web e plugin, con un responsabile per ogni riga.
• Aggiorni automaticamente dove possibile, il riavvio fa parte del processo, i dispositivi periferici vanno trattati per primi e rapidamente.
• Fine del supporto significa: niente più aggiornamenti di sicurezza. Sostituisca il dispositivo, oppure lo scolleghi e lo isoli.
• Aggiornamenti solo tramite i canali ufficiali, mai tramite pop-up o e-mail.

Quiz

Esercizio

Esercizio D5.1: Il Suo inventario degli aggiornamenti. Crei un elenco di tutti i Suoi dispositivi e software, inclusi router, NAS, stampante, telecamere, sito web e plugin. Annoti per ogni riga la versione, se gli aggiornamenti automatici sono attivi, chi è il responsabile e se il dispositivo o software è ancora supportato. Aggiorni ciò che è rimasto indietro e risponda alle domande di riflessione.

Per approfondire

I passaggi descritti negli articoli di WebOké si riferiscono all'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 14.1: Scegliere la versione di PHP (Select PHP version)
• Guida DirectAdmin 13.6: Creare e ripristinare backup in Installatron
• NCSC (Paesi Bassi), Un'impresa su tre non effettua aggiornamenti automatici: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• NCSC (Paesi Bassi), Organizzare la gestione delle patch: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• ACN (Agenzia per la Cybersicurezza Nazionale): https://www.acn.gov.it/
• Microsoft, ciclo di vita di Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro