CISA aggiorna il catalogo KEV: vulnerabilità già sfruttate e checklist pratica per il patching

In un anno normale accumuliamo CVE come si accumulano ticket: tante, troppe, spesso tutte “urgenti” sulla carta. KEV è diverso perché restringe il campo. Non promette che una vulnerabilità verrà sfruttata, certifica che è già stata sfruttata. È un cambio di paradigma pratico: il rischio diventa una coda di lavoro, non un elenco astratto.

C’è un altro punto che in azienda pesa più di quanto si dica. Quando una CVE entra nel KEV, spesso vediamo due effetti a cascata: aumento di scanning e aumento di riuso degli exploit nelle campagne opportunistiche. Questo vale anche fuori dagli Stati Uniti perché i prodotti in gioco sono gli stessi, le superfici esposte sono simili e l’economia dell’attacco spinge a replicare rapidamente ciò che funziona.

Il nostro criterio è semplice: KEV entra nella “lista corta” e la lista corta guida la settimana. Poi la priorità fine la decide l’esposizione e la criticità dell’asset, non la voglia di inseguire un punteggio.

Questo non è un aggiornamento da “leggere e archiviare”. È un aggiornamento da usare. La cosa utile del KEV è che ci obbliga a una domanda immediata: dove siamo esposti oggi e che cosa possiamo spegnere prima che la prossima ondata ci tocchi.

Sommario dei contenuti

• La fotografia dell’update: date e scadenze
• Priorità immediate: BeyondTrust e SolarWinds
• Il blocco Microsoft: perché le CVE locali contano
• Il gruppo del 5 marzo: ConfigMgr, Notepad++ e Apple
• Perché KEV conta anche fuori dagli USA
• KEV come checklist: metodo pronto da applicare
• FAQ

La fotografia dell’update: date e scadenze che cambiano le priorità

Abbiamo un pattern chiaro. Inserimenti il 10, il 12 e il 13 febbraio, poi quattro scadenze che fanno da bussola. La scadenza del 15 febbraio è già alle spalle, quella del 16 febbraio cade oggi, poi arrivano 3 e 5 marzo. Quando la finestra è così stretta, KEV non sta solo dicendo “è sfruttato”, sta dicendo “la pressione è alta adesso”.

Priorità immediate: BeyondTrust e SolarWinds

Qui la priorità è banale da decidere. Se avete uno dei due prodotti e se è esposto, non stiamo parlando di “metterlo nel prossimo sprint”. Stiamo parlando di togliere superficie o applicare fix adesso.

BeyondTrust RS e PRA (CVE-2026-1731): perché la finestra di oggi pesa

La vulnerabilità è una pre-auth remote code execution con iniezione di comandi, quindi il tipo di problema che non perdona esposizione su internet. L’aggiornamento del vendor è interessante per due motivi operativi: il primo è che la patch è stata distribuita molto presto in modalità automatica per chi aveva il servizio update attivo, il secondo è che i tentativi di sfruttamento sono stati osservati dal 10 febbraio. Tradotto: chi è rimasto indietro con le patch si è ritrovato in una finestra corta e visibile.

Per chi gestisce ambienti self-hosted, la parte che spesso viene sottovalutata è la compatibilità. Alcune installazioni vecchie richiedono un salto di versione prima di poter applicare la correzione. Se Remote Support è sotto una versione molto datata o se Privileged Remote Access è sotto la soglia minima supportata per la patch, la remediation non è “applica hotfix” ma “aggiorna e poi applica”. In questa classe di prodotto è il momento in cui si decide se il servizio deve restare esposto oppure no.

SolarWinds Web Help Desk (CVE-2025-40536): perché la scadenza del 15 febbraio è un allarme

Qui abbiamo una vulnerabilità di security control bypass che consente a un attaccante non autenticato di accedere a funzionalità ristrette. Il dettaglio che ci interessa è lo scarto tra percezione e rischio reale. Il punteggio può cambiare a seconda di chi lo calcola, ma il catalogo KEV e la scadenza ravvicinata ci dicono che l’exploit è già nel mondo e il prodotto finisce nel mirino quando è pubblicato.

Web Help Desk è un classico “servizio utile” che in molte realtà finisce su una rete meno controllata, a volte perfino esposto per comodità. La raccomandazione pratica è sempre la stessa: se lo usate, patchate e spostate l’accesso su un perimetro controllato. Una mitigation che funziona subito è ridurre drasticamente chi può raggiungere l’applicazione, mentre si prepara l’aggiornamento vero.

Il blocco Microsoft: perché le CVE locali contano anche quando non sono esposte

La tentazione è sempre quella di dire “sono locali, ci pensiamo”. Il problema è che la maggior parte degli incidenti moderni entra da un utente o da una credenziale e poi si muove. In quella fase, le CVE locali sono acceleratori. Nel pacchetto del 10 febbraio troviamo bypass di feature di sicurezza e almeno due casi tipici di escalation. Non sono dettagli: sono la differenza tra un foothold rumoroso e una compromissione che diventa dominio in poche ore.

Nel dettaglio, il blocco include una bypass in Windows Shell (CVE-2026-21510), una bypass nel framework MSHTML sfruttabile via rete con interazione utente (CVE-2026-21513), una bypass legata a decisioni su input non affidabili in Word (CVE-2026-21514), una escalation nel Desktop Window Manager via type confusion (CVE-2026-21519), una DoS locale nel Remote Access Connection Manager (CVE-2026-21525) e una escalation su Windows Remote Desktop (CVE-2026-21533). Guardate la combinazione e capite perché KEV la mette in lista: è una cassetta degli attrezzi per l’attaccante.

Il gruppo del 5 marzo: ConfigMgr, Notepad++ e Apple

Qui KEV mette insieme tre mondi che in azienda vengono gestiti da persone diverse. È il punto in cui la checklist serve davvero, perché se lasciate il lavoro a silos rischiate un buco “di confine”.

Configuration Manager (CVE-2024-43468): quando un server di gestione diventa un moltiplicatore

La voce riguarda Configuration Manager e ruota attorno a una SQL injection che può portare a esecuzione di codice remoto. La priorità nasce dal ruolo, non solo dalla CVE. Un server di gestione spesso ha credenziali, reachability e privilegi che un endpoint non ha. Se cade lui, la superficie che l’attaccante guadagna è enorme.

Notepad++ (CVE-2025-15556): supply chain “silenziosa” via updater

Questa è una vulnerabilità che molti sottovalutano perché riguarda un meccanismo di update. Il cuore è semplice: download senza controllo di integrità in un componente usato per aggiornare. In ambienti gestiti, la mitigazione intelligente è togliere autonomia all’updater e distribuire il software con packaging interno, dove integrità e provenienza sono controllate. Non serve panico, serve disciplina.

Apple dyld (CVE-2026-20700): il segnale “attacco sofisticato” non è decorazione

Qui il messaggio chiave è che Apple ha collegato il bug a uno scenario di attacco estremamente sofisticato contro individui specifici, su versioni di iOS precedenti a iOS 26. Questo tipo di nota, quando compare, cambia la priorità per chi ha figure ad alto rischio. Non significa che ogni parco Apple sia sotto attacco, significa che chi gestisce device di dirigenti, giornalisti, legali o persone esposte deve trattare la patch come protezione reale, non come manutenzione.

Perché KEV conta anche fuori dagli USA

KEV nasce in un contesto federale, ma la sua utilità è universale. La ragione è pratica: i criminali non segmentano per confini e l’infrastruttura digitale che usiamo è la stessa. Se un exploit funziona, viene riutilizzato. Se un prodotto è diffuso, viene scansionato. Se una piattaforma è di accesso remoto, diventa un bersaglio naturale perché accorcia la strada verso privilegi e dati.

Noi usiamo KEV come bussola perché riduce la discussione interna. Evita il classico tavolo infinito su “quanto è grave” e sposta il dialogo su “dove siamo esposti”. In più, le scadenze sono un proxy semplice che possiamo adottare anche in Italia: non sono un obbligo, ma descrivono quanto è corta la finestra che CISA si aspetta per contenere il rischio.

KEV come checklist: metodo pronto da applicare

Se dovessimo ridurre tutto a una frase, diremmo questa: KEV è la lista corta che decide cosa entra nella corsia urgente. Poi la corsia urgente si gestisce con due discipline: inventario reale e verifica post-patch.

Impatti pratici che vediamo subito quando KEV entra nel flusso

• Meno backlog: la coda si svuota perché non tentiamo di patchare tutto insieme, patchiamo prima ciò che è già sfruttato.
• Decisioni più rapide: l’owner del prodotto lavora su un numero finito di voci, quindi non entra in paralisi da volume.
• Incident response più pulita: quando succede qualcosa, sappiamo già se abbiamo chiuso le CVE “calde” e su quali asset.
• Comunicazione interna più onesta: possiamo dire “questa è la nostra esposizione e questa è la data di chiusura” senza frasi vaghe.

I controlli rapidi da fare oggi se gestite patching

• Individuate eventuali istanze di accesso remoto e verificate se sono esposte su internet.
• Verificate lo stato patch dei prodotti entrati nel KEV tra 10 e 13 febbraio e assegnate owner e data target per ciascuno.
• Accelerate l’adozione delle patch Windows di febbraio sugli endpoint di amministrazione e sui server che fanno da ponte verso privilegi.
• Controllate i software con update client-side e spostate la distribuzione su canali gestiti.
• Per il parco mobile e Apple, fate un check mirato sui profili ad alto rischio e chiudete prima lì.

Il problema più grande, quando si parla di vulnerabilità, è l’illusione della metrica unica. CVSS è utile ma non racconta se l’exploit sta girando. EPSS è utile ma non racconta se il vostro asset è esposto. KEV è utile perché taglia la discussione: qualcuno lo ha già usato.

Il punto che ci interessa davvero è la disciplina. Se KEV entra nel flusso una volta a settimana e poi si dimentica, non cambia nulla. Se KEV entra nel flusso ogni mattina e diventa una coda con owner, date e verifica, cambia tutto. Non perché “ci fidiamo di CISA”, ma perché ci fidiamo del fatto che una vulnerabilità sfruttata è un rischio più concreto di una vulnerabilità teorica.

Questa tornata di febbraio è un esempio perfetto. Una scadenza già passata e una scadenza che cade oggi sono un promemoria brutale: l’urgenza non sempre coincide con ciò che ci sembra comodo. Se teniamo la lista corta e la trattiamo come checklist, non rincorriamo più le CVE, rincorriamo solo la nostra esposizione.

A cura di Junior Cristarella.