Il bug Cisco sotto attacco ha preso solo 5,3

Due valutazioni sulla stessa pagina, e si contraddicono

Alle 16:00 GMT del 29 luglio 2026 Cisco ha pubblicato un avviso sul software del suo Secure Firewall Management Center, e il documento si contraddice in un modo che merita una lettura attenta. La falla è CVE-2026-20316, tracciata internamente come bug CSCwt95997. Cisco le assegna un punteggio base CVSS versione 3.1 di 5,3, che ricade nella fascia media, e sulla stessa pagina le attribuisce una valutazione di impatto sulla sicurezza alta. Le due cifre nascono da processi diversi. La prima è aritmetica applicata a una stringa vettore. La seconda è un giudizio di persone che sanno che cosa fa il prodotto e dove i clienti lo collocano.

Quando un produttore scavalca la propria aritmetica, è lo scavalcamento il segnale. Cisco non ha alzato il punteggio, che sarebbe stata la mossa più comoda: ha lasciato in piedi il 5,3 e gli ha messo accanto la valutazione qualitativa più alta. Quella combinazione è l'azienda che dice, nei due soli vocabolari di cui dispone, che la formula sta descrivendo la cosa correttamente e ciò nonostante manca il punto. Gran parte delle organizzazioni acquisisce la prima cifra in automatico e la seconda per niente, perché la prima arriva da un'interfaccia e la seconda in prosa.

Che cosa misura il vettore e che cosa tralascia

Il vettore è AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, e ogni termine svolge un lavoro onesto. La falla è raggiungibile in rete, richiede bassa complessità di attacco, non chiede privilegi né interazione dell'utente e non cambia l'ambito. Poi gli impatti: riservatezza bassa, integrità nessuna, disponibilità nessuna. Chi la sfrutta può leggere qualcosa e non modificare nulla. Dato in pasto alla formula, questo produce 5,3, e la formula non sbaglia. Ha risposto alla domanda che le è stata posta.

La domanda che non le è stata posta è dove sia collocata la macchina. Il Secure Firewall Management Center è il piano di gestione, la console da cui si scrivono le politiche del firewall e si distribuiscono in tutto il parco. L'accesso in lettura su quella macchina non è un'occhiata ai dati di un sistema: è ricognizione del perimetro stesso, degli insiemi di regole, dei gruppi di oggetti e di quali sedi esistano. CVSS non ha un campo per questo. La posizione è esattamente ciò che un punteggio base esclude di proposito, perché lo standard deve viaggiare tra organizzazioni che installano lo stesso prodotto in modi diversi, e il prezzo di quella portabilità è che il numero non può conoscere la vostra topologia.

Tre giorni, su un orologio che non è il vostro

CISA ha inserito CVE-2026-20316 nel catalogo delle vulnerabilità sfruttate note il 29 luglio, con scadenza al 1 agosto, ai sensi della Binding Operational Directive 26-04. L'azione richiesta recita: applicare le mitigazioni secondo le istruzioni del produttore e, se non è disponibile una correzione, cessare l'uso del prodotto. Il catalogo conta ormai oltre 1.600 voci. Alla voce sull'uso noto in campagne di riscatto compare Sconosciuto, e questa è un'affermazione sulla visibilità, non sulla sicurezza.

Quella direttiva vincola le agenzie civili federali statunitensi. Non vincola un'azienda meccanica di Brescia né un operatore logistico di Verona, e nessuno dovrebbe applicare patch pensando il contrario. Ciò che attraversa l'Atlantico intatto è la prova, perché una voce di catalogo è l'affermazione di un governo che lo sfruttamento è stato osservato sul campo. Con NIS2 i soggetti essenziali e importanti devono gestire le vulnerabilità come materia di governo dell'impresa, quindi la decisione finisce messa per iscritto in entrambe le direzioni. L'ACN è la sede da cui arriverebbe un avviso italiano. Disattendere consapevolmente un termine federale di tre giorni è una posizione sostenibile, e assai più debole senza la nota che la motiva.

Una password che nessuno può cambiare

La classe di debolezza è CWE-259, uso di una password fissa nel codice, e Cisco afferma senza giri di parole che nel software sono presenti credenziali statiche per un account a bassi privilegi. Quella formulazione ha conseguenze operative. Una password trapelata si cambia, una debole si irrobustisce, una predefinita si sostituisce al primo avvio. Una compilata dentro non è nulla di tutto ciò: non c'è un campo in console per lei né una politica che la disattivi. La sezione sulle soluzioni temporanee dice che non ce ne sono, e non è una svista. Semplicemente non resta nulla da spegnere.

Sei rami di versione la portano, 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0, con correzioni rapide emesse per tutti. È il calendario la parte che dovrebbe arrivare al comitato di gestione dei cambiamenti. Il gruppo di sicurezza di prodotto di Cisco dichiara che nel luglio 2026 è venuto a conoscenza dello sfruttamento attivo di questa vulnerabilità, il che colloca gli attacchi prima della correzione. Per ogni finestra di luglio in cui una console interessata è stata raggiungibile, la lettura onesta è che la credenziale era pubblica per chiunque l'avesse trovata e irraggiungibile per l'operatore che possedeva la macchina.

Cambiate la regola di triage, non solo il parco

Prima applicate la patch, poi guardate la regola che avrebbe declassato tutto questo. Gran parte delle politiche di correzione associa fasce CVSS a scadenze: critica entro una settimana, alta entro un mese, media entro un trimestre. Fate passare CVE-2026-20316 in quella logica e una falla sfruttata prima che la sua patch esistesse finisce nel cassetto dei novanta giorni. Il guasto non è che qualcuno sia stato distratto: è che la politica pone al punteggio una domanda a cui il punteggio non può rispondere, e poi tratta la risposta come un ordine.

Tre modifiche meritano di essere fatte questa settimana. Introducete una regola per cui ogni voce del catalogo delle vulnerabilità sfruttate eredita il termine più breve che applicate, qualunque sia il punteggio, perché lo sfruttamento osservato è un fatto del mondo e un punteggio base è una proprietà di una formula. Introducetene una seconda che alzi il livello per qualsiasi cosa stia su un piano di gestione, dato che la console che configura un controllo vale più del controllo come bersaglio. Poi censite quali istanze del Secure Firewall Management Center sono raggiungibili dall'esterno e verificate che ciascuna sia su una versione corretta, perché la correzione è l'unico rimedio disponibile.

Da leggere ora: ServiceNow ha corretto prima il proprio cloud, voi 103 giorni più tardi  |  La correzione era pubblica 81 giorni prima dell'avviso