Il 2 novembre 2026 il CSIRT Italia, il gruppo dell’Agenzia per la cybersicurezza nazionale che si occupa di incidenti informatici, ha pubblicato l’alert AL01/261102/CSIRT-ITA. Riguarda tre vulnerabilità di gravità «alta» nei prodotti ManageEngine SharePoint Manager Plus, Password Manager Pro e PAM360. Per il rischio complessivo l’alert indica un impatto sistemico «Alto», con punteggio 65.12.
SharePoint Manager Plus serve a gestire e monitorare gli ambienti SharePoint, la piattaforma Microsoft per la condivisione di documenti. Password Manager Pro e PAM360 sono invece piattaforme per la gestione di credenziali, account privilegiati e accessi amministrativi. Gli aggiornamenti di sicurezza del produttore correggono i problemi.
Chi è coinvolto
Secondo l’alert, sono interessati i seguenti prodotti ManageEngine:
- SharePoint Manager Plus, versioni precedenti alla 4508
- Password Manager Pro, versione 13235 e precedenti
- PAM360, versione 8600 e precedenti
Le vulnerabilità sono identificate con tre codici CVE, cioè i numeri di catalogo pubblici che servono a riconoscere ciascuna falla: CVE-2026-18199, CVE-2026-119682 e CVE-2026-119680. Per nessuna delle tre l’alert indica l’esistenza di un exploit dimostrativo (proof of concept) né di uno sfruttamento in corso.
Che rischio c’è
L’alert classifica i problemi in diverse tipologie. La prima è la Remote Code Execution, che consente a qualcuno di eseguire comandi su un sistema a distanza. Poi ci sono il Denial of Service, cioè il blocco di un servizio che smette di funzionare, e il Tampering, la modifica non autorizzata di dati. Sono elencati anche l’Information Disclosure, ovvero la divulgazione di informazioni riservate, e il Security Restrictions Bypass, l’aggiramento di una protezione.
L’alert non attribuisce a ciascuna falla una singola tipologia. Indica l’elenco nel suo insieme.
Il peso della segnalazione deriva dalla natura dei prodotti. Password Manager Pro e PAM360 custodiscono credenziali e accessi amministrativi, cioè le chiavi di accesso più delicate di un’organizzazione. Una falla in sistemi di questo tipo può avere conseguenze più ampie rispetto a un’applicazione comune.
Cosa fare
L’alert, in linea con le dichiarazioni del produttore, raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza di ManageEngine. I bollettini sono riportati nella sezione Riferimenti dell’alert.
Due verifiche di buon senso possono aiutare le organizzazioni che usano questi strumenti:
- controllare quale versione di ciascun prodotto è installata, per capire se rientra tra quelle elencate;
- avvisare il fornitore IT o il responsabile dei sistemi, se la gestione è affidata a terzi, così che l’aggiornamento sia pianificato.
Fonte: alert AL01/261102/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 2 novembre 2026 (impatto sistemico alto). Leggi l’alert originale.
