Il 6 novembre 2026 il CSIRT Italia, il centro nazionale per la risposta agli incidenti informatici dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL04/261106/CSIRT-ITA. Riguarda Apache OFBiz, una piattaforma open source (il cui codice è pubblico e liberamente consultabile) usata per la gestione aziendale. Secondo l’alert, Apache Software Foundation ha rilasciato aggiornamenti di sicurezza per numerose vulnerabilità, di cui 7 con gravità critica e 21 con gravità alta. L’impatto sistemico è indicato come Alto (66.41).
Chi è coinvolto
L’alert indica come affetti i seguenti prodotti e versioni:
- Apache OFBiz, tutte le versioni precedenti alla 24.09.08.
Chi usa questa piattaforma, direttamente o tramite un fornitore, può verificare quale versione è installata.
Che rischio c’è
Una vulnerabilità è un difetto di un programma che può essere sfruttato per fargli fare ciò che non dovrebbe. L’alert elenca diverse tipologie di problema. Alcune sono:
- Remote Code Execution, cioè l’esecuzione di comandi sul sistema da parte di qualcuno che non vi ha accesso fisico;
- Authentication Bypass, cioè l’aggiramento dei controlli di accesso;
- Information Disclosure, cioè la diffusione di informazioni che dovrebbero restare riservate;
- Denial of Service, cioè il blocco del servizio, che diventa inutilizzabile.
L’elenco comprende anche scrittura e lettura arbitraria di file, manipolazione dei dati, elevazione dei privilegi (ottenere permessi più ampi di quelli concessi), aggiramento delle restrizioni di sicurezza, spoofing (farsi passare per un altro soggetto) e tampering (modifica non autorizzata).
Una piattaforma di gestione aziendale contiene in genere dati e processi dell’organizzazione che la usa. L’alert non descrive scenari di attacco specifici. Nella tabella delle 28 vulnerabilità, per ciascuna è riportato un trattino nelle colonne dedicate a dimostrazioni di attacco (POC) e a sfruttamenti in corso (EXPLOITATION).
Cosa fare
Secondo l’alert, in linea con le dichiarazioni del produttore, i prodotti vulnerabili vanno aggiornati seguendo le indicazioni del bollettino di sicurezza pubblicato da Apache e indicato tra i riferimenti. L’alert elenca le sole vulnerabilità di gravità critica e alta: 28 in totale, identificate da codici CVE (il sistema di numerazione pubblico delle falle note) che vanno da CVE-2026-68524 a CVE-2026-114277.
Oltre all’aggiornamento, due verifiche di buon senso:
- controllare quale versione di OFBiz è in uso nella propria organizzazione;
- se la gestione è affidata a un fornitore IT, avvisarlo dell’alert e chiedere conferma dei tempi di aggiornamento.
Fonte: alert AL04/261106/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 6 novembre 2026 (impatto sistemico alto). Leggi l’alert originale.
