Gli allegati 3 e 4 della determinazione ACN 379907/2025 elencano fattispecie diverse per le due categorie di soggetti NIS. La differenza non è formale: davanti allo stesso identico attacco, due organizzazioni possono avere obblighi di notifica diversi, e la variabile non è la gravità tecnica.

Un caso concreto per rendere visibile la differenza

Conviene partire da uno scenario reale, perché la distinzione che segue è astratta finché non la si prova su un fatto.

All’inizio di settembre 2026 sono stati osservati i primi tentativi di sfruttamento della CVE-2026-19490, un authentication bypass con punteggio CVSS 9.3 che interessa le appliance Citrix NetScaler configurate come gateway di accesso remoto o come virtual server AAA. La caratteristica rilevante ai nostri fini è che l’attaccante che riesce non installa nulla: ottiene una sessione valida, indistinguibile a valle da quella di un dipendente. Chi se ne accorge, spesso, si trova con una traccia di accesso anomalo e con la difficoltà di stabilire che cosa quell’accesso abbia effettivamente raggiunto.

È esattamente la situazione in cui la qualificazione dell’incidente diventa difficile, e in cui la differenza tra allegato 3 e allegato 4 smette di essere una sottigliezza.

Dove stanno le fattispecie

Il quadro è fissato dalla determinazione ACN 379907/2025, firmata il 18 dicembre 2025 e applicabile dal 15 gennaio 2026, che aggiorna e sostituisce la determinazione 164179 del 14 aprile 2025. Adottata ai sensi dell’articolo 31 del D.Lgs. 138/2024, stabilisce in fase di prima applicazione le modalità e le specifiche di base per gli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto.

L’articolo 2 distribuisce la materia su quattro allegati: gli allegati 1 e 2 contengono le misure di sicurezza di base, rispettivamente per i soggetti importanti e per quelli essenziali; gli allegati 3 e 4 contengono gli incidenti significativi di base, con la stessa ripartizione.

Tre fattispecie per gli importanti, quattro per gli essenziali

L’allegato 3, che vale per i soggetti importanti, elenca tre tipologie:

• IS-1: il soggetto ha evidenza della perdita di riservatezza, verso l’esterno, di dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale;
• IS-2: evidenza della perdita di integrità, con impatto verso l’esterno, degli stessi dati;
• IS-3: evidenza della violazione dei livelli di servizio attesi dei propri servizi o delle proprie attività, sulla base dei livelli di servizio stabiliti ai sensi della misura DE.CM-01.

L’allegato 4, per i soggetti essenziali, riprende le stesse tre e ne aggiunge una quarta:

• IS-4: il soggetto ha evidenza, anche sulla base dei parametri quali-quantitativi definiti ai sensi della misura DE.CM-01, dell’accesso, non autorizzato o con abuso dei privilegi concessi, a dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale.

Che cosa aggiunge davvero IS-4

Qui si annidano due equivoci, e vale la pena scioglierli entrambi.

Il primo riguarda l’oggetto della fattispecie. IS-4 non si attiva perché qualcuno ha ottenuto una sessione: richiede evidenza dell’accesso non autorizzato a dati digitali. Un attaccante che sfrutta un bypass dell’autenticazione e si ferma alla sessione, senza raggiungere dati, sta in una zona che va valutata caso per caso. Un attaccante che da quella sessione arriva a dati, anche solo consultandoli, integra IS-4 in modo piano.

Il secondo equivoco è più insidioso, ed è quello che circola come slogan: che l’accesso non autorizzato sia notificabile per gli essenziali e non per gli importanti. Non è così, o non in modo così netto. Un attaccante esterno che legge dati produce con ogni probabilità anche una perdita di riservatezza verso l’esterno, quindi un IS-1, che sta nell’allegato 3 e vincola pure i soggetti importanti.

La differenza reale è di soglia probatoria. Per un soggetto essenziale è sufficiente l’evidenza dell’accesso non autorizzato, o dell’abuso dei privilegi concessi, perché l’obbligo scatti. Per un soggetto importante occorre poter affermare che si è prodotta una perdita di riservatezza verso l’esterno, e quando l’analisi forense non riesce a stabilire se i dati siano stati effettivamente letti o portati fuori, quell’affermazione non è sostenibile.

Il risultato pratico è che due organizzazioni colpite dallo stesso attacco, con la stessa dinamica e lo stesso livello di incertezza sull’esito, possono avere obblighi diversi: l’essenziale notifica sulla base di ciò che ha osservato, l’importante potrebbe legittimamente non avere nulla da notificare. La variabile non è la gravità tecnica dell’attacco, è la classificazione del soggetto unita a quanto si riesce a ricostruire.

C’è poi un’estensione di IS-4 che si tende a trascurare, perché non riguarda gli attacchi: la fattispecie copre anche l’abuso dei privilegi concessi, quindi condotte interne prive di qualsiasi proiezione verso l’esterno. Un amministratore che consulta dati fuori dalle proprie necessità funzionali rientra in IS-4 per un soggetto essenziale, e resta fuori dal perimetro di notifica per un soggetto importante.

Una avvertenza di metodo, per onestà verso il lettore: gli allegati non definiscono l’espressione “verso l’esterno”, e la lettura proposta qui è interpretativa. Su un punto che decide se una notifica va fatta o meno, il confronto con il proprio consulente legale non è un passaggio formale.

DE.CM-01, la misura senza la quale IS-4 non è applicabile

La formulazione di IS-4 rinvia ai parametri quali-quantitativi definiti ai sensi della misura DE.CM-01, e questo rinvio ha una conseguenza che va colta.

Le linee guida ACN sulla definizione del processo di gestione degli incidenti ricordano che, per i soggetti essenziali, i punti 4, 5 e 6 di quella misura richiedono, per almeno i sistemi informativi e di rete rilevanti, di impiegare strumenti di analisi e filtraggio sul traffico in ingresso, di monitorare gli accessi da remoto, l’attività dei sistemi perimetrali come router e firewall, gli eventi amministrativi di rilievo e gli accessi eseguiti o falliti verso risorse di rete, punti terminali e applicativi, e infine di definire, monitorare e documentare parametri quali-quantitativi per rilevare gli accessi non autorizzati o con abuso dei privilegi concessi.

Gli esempi che le linee guida portano sono istruttivi perché molto concreti: un indicatore quantitativo può essere il superamento di una soglia di interrogazioni a una banca dati da parte di un singolo utente; uno qualitativo, l’accesso di un amministratore di sistema al di fuori dell’orario di servizio.

Chi quei parametri non li ha definiti e documentati si trova nella posizione peggiore possibile. Non dispone degli elementi per qualificare l’incidente, quindi non è in grado di stabilire se abbia o meno un obbligo di notifica; e l’assenza di quei parametri è a sua volta una carenza rispetto alle misure di base. È il caso in cui una lacuna organizzativa si traduce direttamente in un rischio sanzionatorio su due fronti.

I termini, e da quando decorrono davvero

L’articolo 3 della determinazione fissa le decorrenze a partire dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS: diciotto mesi per l’adozione delle misure di sicurezza di base, nove mesi per l’obbligo di notifica degli incidenti significativi di base previsto dall’articolo 25 del decreto.

Nella propria comunicazione l’ACN affianca a quei termini le date di ottobre 2026 e gennaio 2026, riferite a chi ha ricevuto la comunicazione nella prima tornata. Per i soggetti inseriti nell’elenco per la prima volta nel 2026 i termini sono stabiliti da una determinazione successiva, quindi le date vanno ricalcolate e non date per scontate.

Sul momento in cui parte l’orologio le linee guida chiariscono l’equivoco più diffuso. Ciò che rileva non è il verificarsi dell’incidente ma l’evidenza dell’incidente, ossia il momento in cui il soggetto dispone di elementi oggettivi dai quali si evince che un incidente si è verificato. L’acquisizione dell’evidenza è tipicamente successiva al fatto ed è quella a far decorrere i termini. Il documento aggiunge un passaggio decisivo: ai fini dell’obbligo di notifica non è necessario valutare o risalire alla causa iniziale dell’incidente. Attendere la root cause prima di notificare non è prudenza, è un errore procedurale.

La sequenza verso il CSIRT Italia, da trasmettere tramite il portale segnalazioni.acn.gov.it a cura del referente CSIRT designato, è la seguente:

• pre-notifica entro 24 ore, indicando ove possibile se l’incidente possa ritenersi il risultato di atti illegittimi o malevoli e se possa avere impatto transfrontaliero;
• notifica entro 72 ore, che aggiorna le informazioni precedenti e aggiunge una valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione;
• relazione intermedia, su richiesta del CSIRT Italia;
• relazione finale entro un mese dalla trasmissione della notifica, con descrizione dettagliata, tipo di minaccia o causa originale, misure di attenuazione adottate e in corso, impatto transfrontaliero ove noto;
• se l’incidente è ancora in corso al momento della relazione finale, relazione mensile sui progressi e relazione finale entro un mese dalla conclusione della gestione.

Il termine della relazione finale decorre dalla notifica delle 72 ore, non dall’evidenza dell’incidente: in fase di pianificazione è la differenza tra un calendario corretto e uno sbagliato di tre giorni.

Quasi-incidenti e doppio binario con il GDPR

Due corollari completano il quadro e vengono spesso trascurati.

Il primo riguarda i tentativi bloccati. Un attacco rilevato e fermato senza che si produca alcun impatto può ricadere nella nozione di quasi-incidente del decreto, che comprende gli eventi che avrebbero potuto configurare un incidente senza che questo si sia verificato, incluso il caso in cui l’incidente sia stato efficacemente evitato. Non fa scattare l’obbligo di notifica, ma può essere comunicato volontariamente al CSIRT Italia, facoltà che le linee guida richiamano espressamente. Su vulnerabilità la cui telemetria pubblica poggia su pochi operatori privati, la notifica volontaria non è un adempimento burocratico: è il modo in cui si costruisce un quadro nazionale che altrimenti non esiste.

Il secondo riguarda il GDPR. Se l’incidente comporta una violazione di dati personali, alla notifica al CSIRT Italia si affianca quella al Garante ai sensi dell’articolo 33 del Regolamento (UE) 2016/679, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Sono due binari autonomi, con destinatari, termini e valutazioni proprie, e vanno percorsi entrambi.

Che cosa conviene mettere a posto adesso

La lettura combinata degli allegati suggerisce tre verifiche che non richiedono un progetto e che conviene fare prima del prossimo incidente, non durante.

La prima è banale solo in apparenza: sapere con certezza se la propria organizzazione è classificata come essenziale o importante, perché da lì discende quale allegato si applica. La seconda è verificare se i parametri quali-quantitativi della misura DE.CM-01 esistono, sono documentati e sono effettivamente monitorati, perché senza di essi IS-4 resta inapplicabile e l’organizzazione è cieca proprio sulla fattispecie che la riguarda. La terza è accertarsi che il referente CSIRT sia designato, con i suoi sostituti, e che la procedura interna registri l’orario in cui si acquisisce evidenza di un incidente: è quell’orario, e non altro, a far partire le ventiquattro ore.

Tutte e tre sono verifiche documentali. Nessuna costa quanto una notifica tardiva.

Il caso Citrix NetScaler da cui siamo partiti è analizzato sul piano tecnico e di incident response nell’articolo dedicato alla CVE-2026-19490.

https://www.ictsecuritymagazine.com/notizie/incidenti-significativi-nis2-is4-soggetti-essenziali-importanti/

Leggere più quotidiani non significa ricevere la stessa notizia raccontata allo stesso modo. Un fatto può comparire in apertura su una testata, essere relegato nelle pagine interne su un’altra o non essere trattato affatto da un giornale specializzato. Anche quando i dati di partenza coincidono, cambiano il titolo, le fonti interpellate, lo spazio concesso alle conseguenze e il confine tra cronaca e commento.

Le differenze più utili da osservare riguardano il genere del quotidiano, il suo raggio geografico, la linea editoriale, la gerarchia delle notizie e il formato di lettura. Questi elementi non stabiliscono automaticamente quale giornale sia migliore, ma spiegano perché testate diverse costruiscano esperienze informative diverse.

Generalisti, specializzati, nazionali e locali

La prima distinzione è visibile già nell’organizzazione delle pagine. Un quotidiano generalista deve distribuire lo spazio tra politica, economia, esteri, cronaca, cultura e sport. Una testata specializzata può invece dedicare maggiore profondità a un solo campo, adottando lessico, dati e priorità pensati per chi cerca quel tipo di informazione.

AgCom classifica separatamente i diversi generi editoriali e indica, tra i principali quotidiani nazionali generalisti del 2024, Corriere della Sera, La Repubblica, La Stampa, Avvenire e Il Messaggero. Questa categoria descrive l’ampiezza dell’offerta informativa: non costituisce un giudizio sulla posizione politica dei giornali.

Conta poi la dimensione territoriale. Una testata nazionale seleziona gli avvenimenti per il loro rilievo nel dibattito generale; una locale segue con maggiore continuità amministrazioni, infrastrutture, imprese, servizi e cronaca di una determinata area. Lo stesso provvedimento può quindi diventare una questione politica nazionale oppure essere osservato attraverso i suoi effetti su una città o una provincia.

Come si riconosce una linea editoriale

La linea editoriale non coincide con una semplice etichetta ideologica e non può essere dedotta soltanto dal gruppo proprietario. Per il lettore è più utile riconoscerla nelle scelte ripetute: quali temi arrivano in prima pagina, quali aspetti aprono un articolo, quali voci vengono consultate e quanto spazio è riservato all’analisi rispetto alla cronaca.

Un confronto efficace parte dai titoli, ma non si ferma lì. Bisogna osservare se il titolo descrive un fatto, anticipa un giudizio o mette in primo piano una conseguenza. Nel testo contano l’ordine delle informazioni, la presenza di documenti e dati, il numero e la varietà delle fonti, il modo in cui sono presentate le posizioni in conflitto. Anche la distinzione grafica e linguistica tra notizia, editoriale e commento aiuta a capire che cosa la testata considera accertato e che cosa propone come interpretazione.

La gerarchia delle notizie rivela inoltre il pubblico al quale il prodotto cerca di essere utile. Il rilievo dato alla finanza, alla politica estera, alla cronaca cittadina o alle informazioni di servizio segnala un diverso uso atteso del giornale. Non si tratta di assegnare ai lettori categorie rigide, ma di capire quali domande una testata tende a soddisfare con maggiore continuità.

Perché la stessa notizia cambia da un giornale all’altro

Di fronte a una misura economica, un generalista può concentrarsi sul confronto politico e sugli effetti sociali; una testata economica può esaminare coperture, settori coinvolti e conseguenze per imprese e contribuenti; un quotidiano locale può verificare che cosa cambia nel proprio territorio. Nessuna di queste prospettive esaurisce da sola il fatto.

Cambia anche il tipo di fonte necessario. Un documento ufficiale permette di conoscere il contenuto di una decisione; le dichiarazioni dei protagonisti ne mostrano il conflitto politico; esperti e soggetti coinvolti aiutano a valutarne gli effetti. Quando due articoli attribuiscono peso diverso a queste fonti, producono interpretazioni differenti anche senza contraddirsi sui dati fondamentali.

Occorre però considerare il caso che complica il confronto: un’omissione non prova da sola una scelta ideologica. Può dipendere dal momento della pubblicazione, dallo spazio disponibile, dall’area geografica o dalla specializzazione del giornale. La linea editoriale emerge da una sequenza di decisioni, non da una singola prima pagina.

Carta, copia digitale e aggiornamento continuo

Il formato modifica sia la distribuzione delle testate sia il modo di leggere. Nei dati AgCom relativi al 2024, i quotidiani rilevati da ADS hanno venduto complessivamente 572 milioni di copie sul territorio nazionale, il 5,5% in meno rispetto al 2023 e il 20,2% in meno rispetto al 2020.

Le copie cartacee sono state 423 milioni, con una diminuzione del 7,6% in un anno e del 32,2% rispetto al 2020. Le copie digitali considerate dall’Autorità sono repliche dell’edizione cartacea: sono cresciute dello 0,8% rispetto al 2023 e del 59,5% nell’arco di cinque anni. Non vanno quindi confuse con tutti gli articoli consultati sui siti o con il flusso di aggiornamenti pubblicato durante la giornata.

La distinzione è importante. L’edizione quotidiana, su carta o in replica digitale, presenta una gerarchia relativamente stabile e permette di osservare con chiarezza le scelte della redazione. Il sito può invece cambiare apertura più volte, aggiornare un articolo e aggiungere nuovi elementi. Per confrontare correttamente due testate online bisogna perciò considerare anche l’orario e lo stato dell’aggiornamento.

La distribuzione delle vendite varia a sua volta secondo il formato. Nel 2024 le prime cinque testate per copie digitali rappresentavano il 60% di quel segmento, mentre le prime cinque per copie cartacee arrivavano al 32% delle vendite su carta. La scelta del supporto non è dunque un dettaglio neutro: carta e digitale replica hanno livelli di concentrazione diversi e possono mettere in evidenza testate differenti.

Il diverso andamento di quotidiani nazionali e locali

Neppure la contrazione del mercato procede allo stesso modo per ogni categoria. Nel 2024 le testate classificate come prevalentemente nazionali hanno registrato una riduzione delle vendite del 7,3% rispetto all’anno precedente, contro il 3,1% di quelle maggiormente locali. Sul periodo 2020-2024, però, il calo è stato del 15,2% per le nazionali e del 25,9% per le locali.

Questi numeri descrivono l’andamento delle copie, non la qualità dell’informazione né la composizione dei rispettivi pubblici. Mostrano però che “quotidiani italiani” non identifica un insieme uniforme: testate nazionali e locali operano con funzioni informative e dinamiche distributive differenti.

Quali testate conviene confrontare

La combinazione dipende dalla domanda. Per seguire una vicenda politica nazionale è utile mettere a confronto almeno due generalisti con gerarchie e commenti differenti. Se la decisione ha rilevanti conseguenze finanziarie, si può aggiungere un quotidiano economico; se produce effetti territoriali, una testata locale consente di verificare ciò che il dibattito nazionale lascia sullo sfondo.

Il confronto diventa più solido quando riguarda articoli pubblicati nello stesso momento e distingue tre livelli: i fatti comuni, gli elementi presenti soltanto in una testata e le interpretazioni esplicite. Le divergenze sui fatti richiedono una verifica ulteriore; quelle nella selezione e nell’enfasi mostrano invece il diverso lavoro editoriale.

Scegliere un quotidiano significa scegliere una gerarchia, un ritmo e un punto di osservazione. Affidarsi a una sola testata rende quella prospettiva familiare, ma non completa. Una lettura più affidabile nasce quando le differenze tra i giornali diventano uno strumento di verifica: non adesione a una voce unica, bensì confronto tra prospettive capaci di illuminare parti diverse dello stesso avvenimento.

L’articolo Che differenza c’è tra i quotidiani italiani? Come cambiano linea editoriale e notizie proviene da Il Kim Magazine.

https://www.ilkim.it/che-differenza-c-e-tra-i-quotidiani-italiani-come-cambiano-linea-editoriale-e-notizie/

Un exploit pubblico il 2 settembre, i primi tentativi osservati il giorno dopo: la falla che consente di aggirare l’autenticazione su NetScaler ADC e Gateway è passata in ventiquattro ore dalla teoria alla pratica. Citrix dichiara che non esistono workaround, e il solo aggiornamento non chiude la partita.

Da rischio teorico a sfruttamento osservato

Il 19 agosto 2026 Citrix ha pubblicato il bollettino CTX696939, che documenta due vulnerabilità in NetScaler ADC e NetScaler Gateway. La più grave è la CVE-2026-19490, un authentication bypass con punteggio CVSS v4.0 pari a 9.3, classificato come CWE-288, ossia aggiramento dell’autenticazione attraverso un percorso o un canale alternativo. Il vettore descrive un attacco sfruttabile da remoto, a bassa complessità, senza privilegi né interazione dell’utente, con impatto elevato su riservatezza, integrità e disponibilità del sistema colpito. La seconda, CVE-2026-19489 (CVSS 8.8), è un memory overflow che interessa unicamente le configurazioni con gruppi Large Scale NAT e SIP ALG abilitato, quindi con una superficie di esposizione molto più ristretta.

Per due settimane la CVE-2026-19490 è rimasta un rischio potenziale. Il quadro è cambiato quando, il 2 settembre, è stato creato su GitHub un repository con un proof of concept che richiama esplicitamente il bollettino. Il giorno successivo un sensore della società di vulnerability intelligence Previdian ha intercettato le prime richieste corrispondenti a quell’exploit. La scheda di tracciamento tenuta dalla società, aggiornata al 4 settembre, riporta dieci tentativi complessivi provenienti da sei indirizzi IP unici, geolocalizzati in Australia, Germania, Giappone e Stati Uniti, e attribuisce allo sfruttamento attivo un livello di confidenza medio, sostenuto da tre elementi: la telemetria propria, l’attestazione di terze parti e la disponibilità pubblica dell’exploit.

Ventiquattro ore tra la comparsa dell’exploit e i primi tentativi osservati: è questo il dato che dovrebbe orientare la priorità di intervento, più del punteggio CVSS.

Il numero degli indirizzi è cresciuto nel corso della rilevazione, ed è la ragione per cui in giro si leggono cifre diverse: il 3 settembre Ryan Dewhurst, fondatore di Previdian, aveva parlato a BleepingComputer di tre indirizzi distinti tra Australia, Stati Uniti e Germania.

Due precisazioni sono doverose, e vengono dalla fonte stessa. Dewhurst ha sottolineato che si tratta di tentativi di sfruttamento, non della conferma di compromissioni riuscite su sistemi reali. E la rilevazione, come indica la stessa scheda, poggia su un solo sensore: è un segnale, non una misura della campagna.

Sul versante istituzionale, oltre al richiamo di Citrix di metà agosto, il Centre for Cybersecurity Belgium, che opera come centro nazionale di coordinamento NCC-BE, ha pubblicato il 4 settembre un avviso sui tentativi di sfruttamento della vulnerabilità, invitando gli amministratori a dare priorità all’aggiornamento di tutte le appliance vulnerabili.

Chi è vulnerabile, e perché questo bypass è difficile da vedere

La vulnerabilità interessa le appliance configurate come virtual server AAA oppure come Gateway nelle funzioni di SSL VPN, ICA Proxy, CVPN e RDP Proxy. Sono quindi coinvolti esattamente i dispositivi che governano l’accesso remoto: il perimetro logico dell’organizzazione.

Il dettaglio operativo che conta di più, e che nella copertura della notizia resta spesso implicito, riguarda i prerequisiti, che variano in funzione della build installata e della presenza di una SAML action:

• sulle versioni 14.1-43.56 e successive, e 13.1-61.28 e successive, lo sfruttamento richiede che sia configurata una SAML action oltre al Gateway o al virtual server AAA;
• sulle versioni 14.1-43.55 e precedenti, e 13.1-61.27 e precedenti, è sufficiente la presenza di un Gateway o di un virtual server AAA, senza alcun requisito aggiuntivo;
• le installazioni 13.1 FIPS risultano interessate quando l’appliance è configurata come Gateway o virtual server AAA.

La conseguenza è controintuitiva ma decisiva: più il firmware è vecchio, più ampia è la condizione di vulnerabilità. Le organizzazioni che hanno rinviato gli aggiornamenti non sono soltanto in ritardo, sono esposte su una superficie più larga.

Una precisazione va fatta proprio sul ruolo del SAML, perché si presta a un equivoco che circola già. Che su alcune build serva una SAML action configurata non significa che la vulnerabilità consista nella falsificazione di asserzioni SAML o nella rottura della relativa catena di firme: la presenza del SAML è un prerequisito di configurazione, non necessariamente il meccanismo dell’attacco. Citrix non ha pubblicato dettagli implementativi, e gli analisti che hanno esaminato il caso si sono astenuti dal ricostruire il meccanismo in assenza di quei dettagli. Chi legge un proof of concept di terze parti farebbe bene ad applicare la stessa cautela alla descrizione che quel codice dà di sé.

Sul piano della rilevabilità, e non della gravità assoluta, un authentication bypass su un concentratore VPN pone un problema diverso e per certi versi peggiore di una esecuzione di codice remota: l’accesso iniziale non richiede di installare nulla. L’attaccante ottiene una sessione che, agli occhi dei sistemi a valle, è indistinguibile da quella di un dipendente legittimo. Nel momento dell’ingresso non c’è dropper, non c’è beacon, non c’è artefatto sul disco: c’è un utente che si autentica e comincia a muoversi. È il tipo di compromissione che sfugge alle logiche di detection basate sull’endpoint e che emerge, quando emerge, dall’analisi comportamentale delle sessioni.

Le versioni corrette e il nodo dei workaround

Le build che risolvono la vulnerabilità sono:

Su questo punto serve una precisazione che cambia il modo di pianificare l’intervento: alla voce workaround e fattori di mitigazione, il bollettino Citrix riporta “None”. Non esiste cioè un ripiego riconosciuto dal vendor, e l’unica risposta prevista è l’aggiornamento.

Circola, riportata da Help Net Security, la possibilità di una mitigazione basata su firme applicabile tramite NetScaler Console sui firmware successivi a 14.1-60.52 e a partire da 13.1-63.16, che dispongono della funzione Global Deny Lists. È una capacità del prodotto, non una misura che il bollettino avalli per questa vulnerabilità. Chi la adotta lo fa come tampone in attesa della finestra di manutenzione, e ha tutto l’interesse a verbalizzarla come tale: un ripiego documentato, con la sua motivazione e la sua scadenza, regge a un’ispezione; un ripiego non documentato no.

Sul fronte dell’esposizione, i conteggi Shadowserver riportati da BleepingComputer indicano oltre 22.000 appliance NetScaler ADC e quasi 1.700 istanze Gateway raggiungibili da internet a livello globale. Il numero va maneggiato con cautela: non è dato sapere quanti di quei sistemi siano honeypot, quanti abbiano una configurazione effettivamente vulnerabile e quanti siano già stati aggiornati. La vista collegata, che riguarda le istanze Gateway, è raggruppata per Paese, quindi chi vuole la fotografia italiana può leggerla direttamente lì, tenendo presente che conta dispositivi esposti e non vulnerabili.

Un precedente di pochi mesi fa

Le ventiquattro ore tra exploit pubblico e primi tentativi non sono un’anomalia di questa vicenda, ed è quanto era già accaduto sullo stesso prodotto in primavera.

Il 23 marzo 2026 Citrix aveva pubblicato l’avviso per altre due falle NetScaler, le CVE-2026-3055 e CVE-2026-4368. La prima, anch’essa con punteggio 9.3, è finita nel catalogo delle vulnerabilità attivamente sfruttate della CISA entro una settimana dall’avviso e comunque entro la fine dello stesso mese, con un termine di pochi giorni imposto alle agenzie federali statunitensi per l’aggiornamento.

Il dato d’insieme è più eloquente del singolo caso. Secondo il conteggio di BleepingComputer sul catalogo della CISA, da novembre 2021 sono ventitré le vulnerabilità Citrix classificate come sfruttate in rete, sei delle quali utilizzate anche da gruppi ransomware. Su questi apparati la sequenza avviso, analisi pubblica, sfruttamento non è un’eventualità remota, è lo schema ricorrente.

Proprio questo precedente suggerisce una considerazione, che è redazionale e non un dato. Il catalogo KEV della CISA viene spesso usato, anche fuori dagli Stati Uniti, come soglia implicita per far scattare un intervento urgente, ma è uno strumento rivolto alle agenzie federali statunitensi e non ha valore prescrittivo per un’organizzazione italiana. Usarlo come innesco è per di più una scelta fragile, perché l’inserimento nel catalogo certifica uno sfruttamento già in corso e arriva quindi, per definizione, dopo che la finestra di prevenzione si è chiusa. Il caso in esame lo conferma dal lato opposto: alla verifica del 5 settembre la CVE-2026-19490 non risulta nel catalogo, pur avendo punteggio 9.3, un exploit pubblico dal 2 settembre e tentativi osservati dal 3. Il segnale che conta non è l’ingresso in un elenco estero, è la combinazione di quei tre elementi, che qui era completa da giorni.

Threat hunting: cosa cercare, e perché la patch non basta

Aggiornare è necessario, non sufficiente. La lezione della CitrixBleed del 2023 (CVE-2023-4966) è stata proprio questa: un token di sessione sottratto resta valido dopo l’aggiornamento e consente, come rilevò allora Tenable, di aggirare l’autenticazione anche dove è attiva l’autenticazione a più fattori. Fu lo stesso vendor a raccomandare, dopo l’upgrade, la rimozione delle sessioni attive e persistenti con i comandi kill aaa session -all, kill icaconnection -all, kill rdp connection -all, kill pcoipConnection -all e clear lb persistentSessions.

Il bollettino per la CVE-2026-19490 non contiene indicazioni analoghe, quindi quella che segue è una sequenza derivata da quel precedente, non una prescrizione del vendor per questa vulnerabilità.

1. Inventario. Individuare tutte le appliance con Gateway o virtual server AAA configurati, rilevando firmware e presenza di SAML action. NetScaler Console mette a disposizione una funzione di rilevamento per CVE con avvio manuale della scansione.
2. Aggiornamento, con priorità alle appliance esposte su internet e ai firmware più datati, che come visto sono vulnerabili in condizioni più ampie.
3. Terminazione delle sessioni attive e persistenti dopo l’aggiornamento, seguita dalla rotazione delle credenziali e dei segreti gestiti dalle appliance.
4. Ricerca retrospettiva nei log. Le evidenze pubbliche partono dal 3 settembre, ma il punto di ingresso esiste da prima del bollettino e nulla esclude che qualcuno lo conoscesse per conto proprio: il 19 agosto è quindi il punto di partenza minimo ragionevole, non un confine. Da cercare: sessioni prive di un corrispondente evento di autenticazione, richieste SAML anomale, accessi da aree geografiche o intervalli di indirizzi inconsueti, modifiche di configurazione successive ad attività sospetta.
5. Correlazione a valle, perché il segnale più affidabile non è sull’appliance ma su ciò che è accaduto dopo: autenticazioni verso applicazioni interne provenienti da sessioni VPN senza storia, movimenti laterali, enumerazione di directory.

Il punto quattro è quello che distingue una risposta seria da una spunta su un foglio di calcolo. Se dall’analisi non emerge nulla, il risultato va comunque verbalizzato: in un’eventuale interlocuzione con l’autorità, l’assenza documentata di evidenze vale infinitamente più dell’assenza di documentazione.

Vale la pena aggiungere che, per le organizzazioni che ricadono nel perimetro NIS, l’esito di quella ricerca non resta un fatto interno. Se emergono evidenze di accesso non autorizzato scattano termini di notifica stretti verso il CSIRT Italia, e le fattispecie da notificare non sono le stesse per i soggetti essenziali e per quelli importanti: ne trattiamo nell’analisi dedicata agli incidenti significativi di base.

Il nodo strutturale

Ogni ciclo si ripete con la stessa meccanica: dispositivo di frontiera, vulnerabilità pre-autenticazione, PoC pubblico, sfruttamento nel giro di ore. I concentratori VPN e i gateway di accesso remoto restano il punto debole strutturale delle architetture aziendali perché concentrano una funzione critica in un software monolitico, esposto per definizione e aggiornabile solo con una finestra di manutenzione.

Le contromisure che riducono davvero l’impatto sono note e poco praticate: limitare l’interfaccia di gestione a intervalli di indirizzi amministrativi, separare il piano di gestione da quello di produzione, applicare virtual patching a monte con un web application firewall, segmentare ciò che sta oltre il gateway in modo che una sessione compromessa non si traduca automaticamente in accesso alla rete piatta. Nessuna di queste misure impedisce lo sfruttamento della CVE-2026-19490. Tutte riducono ciò che l’attaccante ottiene una volta dentro, che è la variabile su cui si gioca la differenza tra un incidente da notificare e una crisi da gestire.

https://www.ictsecuritymagazine.com/notizie/cve-2026-19490-citrix-netscaler-authentication-bypass/

(Adnkronos) – Tra il 2019 e il 2024, poco più di 78mila italiani tra i 25 e i 34 anni con una laurea si sono trasferiti all’estero. Nello stesso periodo, però, quasi 88mila giovani stranieri della stessa fascia d’età, con almeno una laurea triennale, hanno trasferito la loro residenza in Italia. I dati della Cgia. 

—

multimedia/news-to-go

webinfo@adnkronos.com (Web Info)

The post Fuga cervelli da Italia, giovani laureati stranieri in arrivo in realtà compensano: i dati appeared first on Key4biz.

https://www.key4biz.it/fuga-cervelli-da-italia-giovani-laureati-stranieri-in-arrivo-in-realta-compensano-i-dati/586332/

(Adnkronos) – Ogni anno migliaia di giovani qualificati scelgono di lasciare l’Italia in cerca di migliori opportunità professionali e salariali. Un fenomeno che, secondo lo studio “Comprendere e contrastare il fenomeno della perdita dei talenti: la Roadmap per l’Italia”, realizzato da Teha in collaborazione con Philip Morris Italia, indebolisce la competitività del Paese e pesa sui conti pubblici. Nel 2024 oltre 45 mila laureati hanno trasferito la residenza all’estero. Tra le principali cause, stipendi poco competitivi, carenza di opportunità e sfiducia nel futuro. Al centro del dibattito, le possibili strategie per trattenere e attrarre talenti. Lo studio è stato presentato nell’abito della 52esima edizione del Forum “Lo Scenario di oggi e di domani per le strategie competitive”, organizzato da Teha Group a Cernobbio. 

—

economia

webinfo@adnkronos.com (Web Info)

The post Imprese: talenti italiani in fuga, le strategie per trattenerli e attrarli al Forum di Cernobbio appeared first on Key4biz.

https://www.key4biz.it/imprese-talenti-italiani-in-fuga-le-strategie-per-trattenerli-e-attrarli-al-forum-di-cernobbio/586310/

Il 3 settembre 2026 il Dipartimento di Stato americano ha offerto una ricompensa fino a 10 milioni di dollari per informazioni su Amir Yaryab (traslitterato anche Amir Yariab), alto funzionario del Corpo delle Guardie della Rivoluzione Islamica che guida le operazioni cyber offensive dell’IRGC. Dopo la taglia sul capo del Cyber-Electronic Command, Hamid Reza Lashgarian, in vigore dal 2024 e riproposta il 24 agosto scorso nel pacchetto sui vertici IRGC, Washington scende ora al livello operativo e indica pubblicamente la figura che, secondo le autorità USA, dirige gruppi come CyberAv3ngers.

Chi è Amir Yaryab e quali gruppi dirige

Secondo l’avviso ufficiale del programma Rewards for Justice, Yaryab è un alto funzionario del Cyber-Electronic Command dell’IRGC (IRGC-CEC) e ne guida il Cyber Operations Command. Dirige inoltre diverse componenti del comando, tra cui le unità Shahid Hemmat e Shahid Shushtari, responsabili di operazioni cyber e di information operations cyber-enabled contro infrastrutture critiche.

Lo stesso avviso attribuisce a Yaryab la supervisione e il controllo dei gruppi affiliati all’IRGC-CEC CyberAv3ngers, Dadeh Afzar Arman (DAA) e Mehrsam Andisheh Saz Nik (MASN), accusati di aver impiegato malware contro infrastrutture civili in tutto il mondo. La scheda elenca tra le organizzazioni associate anche Emennet Pasargad, Net Peygard Samavat, Aria Sepehr Ayandehsazan (ASA), l’IRGC Jangal Organization e la persona online “Mr. Soul”, oltre a diciassette individui, diversi dei quali già sanzionati o incriminati negli Stati Uniti, tra cui lo stesso Lashgarian e i cinque dirigenti IRGC-CEC colpiti dal Tesoro nel febbraio 2024. Il quadro collega sotto un’unica direzione attori finora trattati come sigle separate.

La ricompensa, come specifica l’avviso, è offerta per informazioni che portino a identificare o localizzare chiunque, agendo per conto di un governo straniero, partecipi ad attività cyber malevole contro le infrastrutture critiche USA in violazione del Computer Fraud and Abuse Act. Secondo Iran International, il programma prevede anche assistenza al trasferimento per gli informatori. L’annuncio è stato ripreso, tra gli altri, da The Record e Al-Monitor.

Perché l’attribuzione è ad alta confidenza

L’attribuzione proviene direttamente dal governo statunitense ed è coerente con oltre un decennio di operazioni documentate, la cui architettura organizzativa ICT Security Magazine ha ricostruito nell’analisi su strutture, strategie e capacità cibernetiche dell’Iran nel Quinto Dominio. CyberAv3ngers è il gruppo che nel 2023 compromise PLC Unitronics esposti su Internet e protetti da credenziali di default presso utility idriche americane e israeliane, che nel 2024 introdusse il malware ICS IOCONTROL e che, secondo Tenable, nel 2026 sfrutta attivamente CVE-2021-22681, un bypass di autenticazione senza patch nei controller Rockwell Automation.

Per queste attività Rewards for Justice aveva già pubblicato una taglia sul gruppo e sui sei dirigenti IRGC-CEC sanzionati dal Tesoro nel febbraio 2024 e, nel giugno 2025, una seconda ricompensa centrata sulla persona “Mr. Soul” legata a IOCONTROL.

La taglia su Yaryab arriva inoltre a valle di un’escalation di misure statunitensi nelle ultime settimane. Il 18 agosto il Dipartimento di Giustizia ha incriminato 17 persone legate al Mabna Institute, contractor che operava per conto dell’IRGC in una campagna di furto di proprietà intellettuale che aveva colpito, tra gli altri, Department of Labor, Federal Energy Regulatory Commission e organizzazioni ONU. Il 24 agosto il Tesoro ha sanzionato operatori del Ministero dell’Intelligence (MOIS) per attacchi a infrastrutture critiche, nell’ambito del pacchetto definito “economic D-Day”, pochi giorni dopo la notizia di un’intrusione in una piccola centrale elettrica nel Regno Unito.

Settori e geografie nel mirino

L’avviso del Dipartimento di Stato indica che i gruppi diretti da Yaryab hanno colpito infrastrutture critiche in Stati Uniti, Europa e Medio Oriente, nei settori difesa, media, shipping, trasporti (hotel e compagnie aeree), energia, finanza e telecomunicazioni.

A questo quadro si aggiunge la campagna contro il settore idrico americano in corso dalla fine di luglio. Un advisory congiunto di FBI, NSA, Dipartimento dell’Energia e CISA aggiornato il 22 luglio segnalava attori iraniani impegnati a manipolare PLC esposti su Internet in impianti idrici ed energetici; nelle settimane successive, secondo la mappatura del CSIS, le intrusioni hanno interessato circa 100 impianti in almeno 12 Stati, con cambi di password per escludere gli operatori, passaggi in modalità manuale e alcuni avvisi di bollitura dell’acqua. Va precisato che, mentre funzionari e analisti attribuiscono la campagna all’Iran, CISA non ha formalizzato pubblicamente l’attribuzione di questa specifica ondata e non risultano incriminazioni collegate.

Cosa significa per gli operatori europei e per la NIS2

La novità non è tanto l’attribuzione in sé quanto il consolidamento della catena di comando: gruppi che si presentano con identità distinte rispondono a una direzione IRGC centralizzata, e le infrastrutture civili restano un obiettivo strategico deliberato nel contesto del conflitto tra Stati Uniti e Iran, che ICT Security Magazine segue dall’avvio delle operazioni militari del 28 febbraio 2026. L’intrusione nella centrale britannica, se confermata nell’attribuzione, indica che il perimetro europeo non è teorico.

Al momento non risultano advisory specifiche di ENISA o dell’Agenzia per la Cybersicurezza Nazionale su questo annuncio: le indicazioni che seguono sono una lettura operativa, non una raccomandazione delle autorità. Per energia, acqua, telecomunicazioni e trasporti, settori essenziali ai sensi della direttiva NIS2, i punti di attenzione sono tre: monitoraggio delle TTP iraniane note, verifica dell’esposizione su Internet di PLC, HMI e protocolli industriali (Siemens, Rockwell, Modbus), tema già evidenziato nella notizia sulle operazioni ibride iraniane contro infrastrutture OT e ambienti Microsoft 365, e revisione degli accessi remoti, che nelle utility americane colpite erano spesso la comodità di un unico operatore trasformata in porta d’ingresso.

Sia nel 2023 sia nel 2026 il bersaglio non è stata la grande utility presidiata, ma l’impianto periferico con difese minime: una descrizione che si applica a gran parte del tessuto infrastrutturale europeo.

Domande frequenti

Chi è Amir Yaryab? È un alto funzionario del Cyber-Electronic Command dell’IRGC che, secondo il Dipartimento di Stato USA, guida il Cyber Operations Command e dirige le unità Shahid Hemmat e Shahid Shushtari, oltre a supervisionare gruppi affiliati come CyberAv3ngers. Il vertice dell’IRGC-CEC resta Hamid Reza Lashgarian, anch’egli oggetto di una taglia da 10 milioni.

Cos’è CyberAv3ngers? È un gruppo affiliato all’IRGC-CEC noto per gli attacchi del 2023 contro utility idriche tramite PLC Unitronics con credenziali di default, per il malware ICS IOCONTROL (2024) e per lo sfruttamento nel 2026 di CVE-2021-22681 nei controller Rockwell.

Cosa dovrebbero fare gli operatori soggetti a NIS2? Rafforzare il monitoraggio delle TTP iraniane, ridurre l’esposizione su Internet dei sistemi OT/ICS e rivedere gli accessi remoti, con priorità agli impianti periferici meno presidiati.

https://www.ictsecuritymagazine.com/geopolitica-cyberspazio/amir-yaryab-taglia-usa/

(Adnkronos) – “Il nostro Paese parte, purtroppo, da un dato drammatico: negli ultimi dieci anni 300mila ragazzi hanno scelto di valorizzare se stessi e di porre i propri obiettivi lavorativi e personali al di fuori del nostro Paese. Credo che sia urgente chiedere all’Europa un nuovo accordo sui talenti e, come è stato fatto per le spese sulla difesa, che sono al di fuori del Patto di stabilità europeo, credo da economista che dovremmo fare in modo che anche le spese sui giovani siano al di fuori del patto di stabilità europeo, proprio per dare un impulso a questi ragazzi e ragazze e ai loro sogni”. Lo ha detto Giovanna lannantuoni, Professoressa di Economia Politica e già Rettrice dell’Università di Milano-Bicocca, intervenendo alla conferenza stampa di presentazione della ricerca “Comprendere e contrastare il fenomeno della perdita dei talenti: la Roadmap per l’Italia”, realizzata da Teha in collaborazione con Philip Morris Italia, svoltasi nel contesto della 52esima edizione del Forum “Lo Scenario di oggi e di domani per le strategie competitive”, organizzato da Teha Group a Villa d’Este a Cernobbio. 

—

economia

webinfo@adnkronos.com (Web Info)

The post Iannantuoni (Unimi), ‘in 10 anni, 300mila ragazzi in fuga: urge nuovo accordo europeo sui talenti’ appeared first on Key4biz.

https://www.key4biz.it/iannantuoni-unimi-in-10-anni-300mila-ragazzi-in-fuga-urge-nuovo-accordo-europeo-sui-talenti/586316/

(Adnkronos) – “Della fuga delle persone dall’Italia notiamo, soprattutto, che vi è un cambiamento progressivo: c’è una consistente quota, circa un terzo del totale, di persone che hanno un elevato tasso di qualifica professionale e di laurea. Il dato principale, infatti, è che sono quasi 45mila i laureati che hanno lasciato l’Italia nell’ultimo anno. Questo è un dato problematico, perché c’è un costo sostenuto dallo Stato in termini di ciclo di vita e di studio, dalla scuola primaria alla terziaria e anche di mancato Pil”. Sono le parole di Pio Parma, Senior Consultant Area Scenari e Intelligence e Project Coordinator di Teha Group, alla conferenza stampa di presentazione della ricerca “Comprendere e contrastare il fenomeno della perdita dei talenti: la Roadmap per l’Italia”, realizzata da Teha in collaborazione con Philip Morris Italia, illustrata durante la 52esima edizione del Forum organizzato da Teha Group a Villa d’Este a Cernobbio. 

—

economia

webinfo@adnkronos.com (Web Info)

The post Parma (Teha Group), ’45mila laureati in fuga dall’Italia nell’ultimo anno: livelli salariali non competitivi’ appeared first on Key4biz.

https://www.key4biz.it/parma-teha-group-45mila-laureati-in-fuga-dallitalia-nellultimo-anno-livelli-salariali-non-competitivi/586312/

(Adnkronos) – “Questo studio si impegna a dare suggerimenti su come poter sviluppare policy per diminuire consistentemente questa perdita di talenti e per attrarre, al tempo stesso, talenti esteri, in mestieri che oggi sono importanti. Philip Morris continuerà a lavorare su questo tema, forte anche della propria esperienza di saper attrarre, trattenere e sviluppare talenti”. E’ quanto affermato da Pasquale Frega, Presidente e Amministratore Delegato di Philip Morris Italia, in occasione della conferenza stampa di presentazione della ricerca “Comprendere e contrastare il fenomeno della perdita dei talenti: la Roadmap per l’Italia”, realizzata da Teha in collaborazione con Philip Morris Italia, svoltasi nel contesto della 52esima edizione del Forum “Lo Scenario di oggi e di domani per le strategie competitive”, organizzato da Teha Group a Cernobbio. 

—

economia

webinfo@adnkronos.com (Web Info)

The post Frega (Philip Morris Italia), ‘studio offre suggerimenti per diminuire perdita di talenti’ appeared first on Key4biz.

https://www.key4biz.it/frega-philip-morris-italia-studio-offre-suggerimenti-per-diminuire-perdita-di-talenti/586314/

Hackers have been exploiting a critical-severity vulnerability in the Elementor Pro WordPress plugin to hack websites, WordPress security firm Defiant warns.

A highly popular drag-and-drop website builder, Elementor is a free WordPress plugin with over 10 million installations. Elementor Pro is the paid version that offers additional features, including a Form widget with support for File Upload fields.

The bug, tracked as CVE-2026-32475 (CVSS score of 9.8), is described as an arbitrary file upload issue in the function that handles form submissions.

While submissions are passed through the plugin’s validation and processing mechanisms, when the validation loop encounters an upload slot marked as empty, it triggers an error and returns, aborting the validation of other files in the field.

The normal behavior would be to continue, skipping the empty entry, but the vulnerability results in checks never being applied to the remaining files uploaded through the same form field.

An attacker can submit an upload field as an array with two parts: an empty slot that triggers the return, followed by a PHP payload that is uploaded without validation.

Because the function that handles field processing correctly skips the empty slot and processes the second, unvalidated part of the field, the attacker-supplied file is written to disk.

“As a result, an unauthenticated attacker can request the uploaded file to execute their PHP payload on the server,” Defiant explains, noting that this could lead to full site compromise.

CVE-2026-32475 impacts all Elementor Pro plugin versions up to 4.2.1 and was patched in version 4.2.2 on August 19. Site owners should update to the fixed iteration as soon as possible.

According to Defiant, threat actors started exploiting the security defect immediately after the fixes landed. The security firm has blocked over 190,000 exploit attempts to date.

Successful exploitation of the vulnerability results in a PHP file being written to the /wp-content/uploads/elementor/forms/ directory, which stores uploaded form submissions.

Site administrators are advised to check the directory for the presence of any PHP file, which is a strong indicator of compromise (IoC). They should also check logs for requests to /wp-admin/admin-ajax.php and check their sites for backdoors if any evidence of compromise is discovered.

Defiant notes that Elementor Pro has over 6 million active installations, but it is unclear how many of them are affected. According to WordPress data, approximately two-thirds of Elementor’s 10 million installations run a vulnerable plugin version as of September 4.

Related: 12-Year-Old PostgreSQL Vulnerability Enables Database, Server Takeover

Related: VMware Workstation and Fusion Updates Patch Critical Vulnerability

Related: Google Patches 6th Chrome Zero-Day of 2026

Related: Over 3 Million WordPress Sites Affected by Migration Plugin Vulnerability

https://www.securityweek.com/elementor-pro-wordpress-plugin-vulnerability-exploited-to-hack-sites/