In sintesi
Il 5 giugno 2026, la CISA (Cybersecurity and Infrastructure Security Agency) ha aggiunto una nuova vulnerabilità al suo Catalogo delle Vulnerabilità Sfruttate Conosciute (KEV). Questa mossa è basata su prove di attivo sfruttamento. Il Catalogo KEV, istituito dalla Binding Operational Directive (BOD) 22-01, è una lista dinamica di Common Vulnerabilities and Exposures (CVE) con rischi significativi, creata al fine di ridurre l’esposizione alle minacce più critiche e operative.
La vulnerabilità, CVE-2026-28318, interessa il software SolarWinds Serv-U ed è una “Uncontrolled Resource Consumption Vulnerability”. La CISA la identifica come un frequente vettore d’attacco per attori cibernetici malintenzionati, comportando rischi notevoli. La sua presenza nel KEV indica che è già attivamente sfruttata, rendendo la mitigazione una priorità assoluta.
La BOD 22-01 richiede alle agenzie federali del ramo esecutivo civile (FCEB) di rimediare tempestivamente a queste vulnerabilità entro scadenze precise. Questo requisito è volto a proteggere le reti FCEB dalle minacce attive e sottolinea l’importanza governativa della gestione delle vulnerabilità sfruttate. Per le agenzie FCEB, l’adempimento è vincolante.
Sebbene la BOD 22-01 si applichi solo alle agenzie FCEB, la CISA estende un forte appello a tutte le organizzazioni. L’agenzia esorta a ridurre l’esposizione agli attacchi cibernetici, prioritarizzando la bonifica delle vulnerabilità KEV. Ciò è cruciale per chiunque gestisca dati personali e sia soggetto a normative quali GDPR, NIS2, o standard ISO 27001, che richiedono un’efficace gestione del rischio e delle vulnerabilità. La mancata risoluzione può comportare violazioni di dati, interruzioni operative e implicazioni sulla conformità.
Per gestire tali rischi, le azioni pratiche raccomandate per una robusta gestione delle vulnerabilità includono:
- Monitorare costantemente il Catalogo KEV della CISA per identificare vulnerabilità impattanti.
- Dare massima priorità alla remediation delle vulnerabilità KEV, integrando tali attività nei processi di gestione del rischio e di sicurezza IT.
- Adottare un approccio proattivo e sistematico alla gestione delle vulnerabilità, poiché la CISA continuerà ad aggiornare il catalogo.
Questa strategia è fondamentale per la protezione dei dati e la resilienza operativa.