Il 29 ottobre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che segnala le minacce informatiche, ha pubblicato l’alert AL02/261029/CSIRT-ITA. Riguarda gli aggiornamenti di sicurezza rilasciati da Juniper Networks per Session Smart Router e Session Smart Conductor. Gli aggiornamenti correggono 18 vulnerabilità, cioè punti deboli del software che possono essere sfruttati da un attaccante. Secondo l’alert, 2 hanno gravità “critica” e 8 gravità “alta”.
Chi è coinvolto
I due prodotti sono soluzioni dedicate rispettivamente al routing, cioè all’instradamento del traffico di rete, e alla sua gestione. Secondo l’alert, le versioni affette sono:
- 7.0.x, versioni precedenti alla 7.0.5
- 7.1.x, versioni precedenti alla 7.1.7
- 7.2.x, versioni precedenti alla 7.2.3
L’alert precisa che le versioni arrivate a fine supporto (EOL) o a fine sviluppo (EOE) non sono state valutate dal produttore nel suo bollettino. Per chi usa una di queste versioni, quindi, l’elenco sopra non dice se il problema esista.
Che rischio c’è
L’alert classifica le vulnerabilità in sette categorie. In termini semplici, indicano la possibilità di:
- scrivere, leggere o cancellare file a piacere sul sistema;
- aggirare l’autenticazione, cioè il controllo di chi può accedere;
- bloccare il servizio (denial of service);
- ottenere informazioni che dovrebbero restare riservate;
- ottenere permessi superiori a quelli assegnati (privilege escalation);
- eseguire codice da remoto, cioè far girare comandi sul dispositivo senza essere fisicamente presenti (remote code execution);
- superare le restrizioni di sicurezza previste.
I router e i sistemi che li gestiscono stanno al centro della rete di un’organizzazione. Un problema su questi apparati può quindi avere effetti su molti altri sistemi. L’alert attribuisce all’evento un impatto sistemico “alto”, con un valore di 66,41. L’alert elenca 10 identificativi CVE, i codici che catalogano le singole vulnerabilità, per quelle di gravità critica e alta. Nella tabella non sono riportate indicazioni su prove di concetto o sfruttamenti già in corso.
Cosa fare
Secondo l’alert, in linea con le dichiarazioni del produttore, i prodotti vulnerabili vanno aggiornati seguendo le indicazioni del bollettino di sicurezza di Juniper. Il bollettino è citato nella sezione Riferimenti dell’alert e si intitola “2026-10 On-Demand Security Bulletin: Session Smart Router and Session Smart Conductor: Multiple internally discovered vulnerabilities resolved”.
Oltre a questo, due verifiche di buon senso:
- controllare quale versione dei due prodotti è in uso e confrontarla con quelle elencate sopra;
- avvisare il fornitore o il referente IT che gestisce questi apparati, se la manutenzione è affidata a terzi.
Fonte: alert AL02/261029/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 29 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
