Aggiornamenti Normativi e di Compliance | Gabriele Ilardi

[SCADENZA] NIS2 Italia: misure di sicurezza di base da completare entro ottobre 2026

Mon, 28 Sep 2026 06:00:00 GMT

Cosa cambia: ACN ha fissato a ottobre 2026 il termine entro cui i soggetti NIS devono completare le misure di sicurezza di base, dopo l'avvio degli obblighi di notifica degli incidenti a gennaio 2026. Riguarda tutti i soggetti che hanno ricevuto da ACN la comunicazione di inclusione nel perimetro NIS.

Azione raccomandata: Eseguire subito una gap analysis dei controlli rispetto alle misure di base ACN e raccogliere le evidenze per ciascuna misura prima della scadenza.

ACN (Agenzia per la Cybersicurezza Nazionale) | D.Lgs. 138/2024 Art. 24 | Bollettino originale

[VULNERABILITÀ CRITICA] Citrix NetScaler ADC e Gateway: 8 vulnerabilità risolte, 2 già sfruttate

Sun, 27 Sep 2026 06:00:00 GMT

Impatto: Citrix segnala lo sfruttamento di CVE-2026-88771 e CVE-2026-88772 su apparati NetScaler non aggiornati. Sono dispositivi di solito esposti su internet e usati per l'accesso remoto.

Azione raccomandata: Applicare gli aggiornamenti Citrix su tutte le istanze ADC e Gateway, poi verificare log e sessioni attive per individuare accessi avvenuti prima dell'aggiornamento.

CSIRT Italia (ACN) | CVE-2026-88771, CVE-2026-88772 | Bollettino originale

[VULNERABILITÀ CRITICA] Microsoft SharePoint: code injection sfruttata attivamente

Fri, 25 Sep 2026 06:00:00 GMT

Impatto: CISA conferma lo sfruttamento attivo: un attaccante autenticato può eseguire codice da remoto sui server SharePoint.

Azione raccomandata: Applicare le mitigazioni Microsoft a tutte le farm SharePoint on-premises e verificare che nessuna sia raggiungibile da internet.

CISA Known Exploited Vulnerabilities | CVE-2026-65660 | Bollettino originale

[VULNERABILITÀ CRITICA] Adobe Commerce e Magento: falla di autorizzazione sfruttata attivamente

Thu, 24 Sep 2026 06:00:00 GMT

Impatto: Un attaccante non autenticato può ottenere accesso privilegiato a risorse sensibili senza interazione dell'utente.

Azione raccomandata: Aggiornare secondo il bollettino Adobe, poi verificare che negli script dello store e del checkout non ci siano modifiche inattese.

CISA Known Exploited Vulnerabilities | CVE-2026-71362 | Bollettino originale

[VULNERABILITÀ CRITICA] F5 BIG-IP APM: esecuzione di codice remoto senza autenticazione con profili OAuth

Tue, 22 Sep 2026 06:00:00 GMT

Impatto: Heap overflow sfruttabile senza credenziali quando su un virtual server sono configurati una access policy e un profilo OAuth. BIG-IP APM gestisce spesso VPN e SSO.

Azione raccomandata: Individuare i virtual server con access policy e profilo OAuth e applicare la correzione o la mitigazione F5.

CISA Known Exploited Vulnerabilities | CVE-2026-94127 | Bollettino originale

[VULNERABILITÀ ALTA] Plugin CRI di containerd: 5 vulnerabilità su EKS, ECS, Fargate e Bottlerocket

Tue, 22 Sep 2026 06:00:00 GMT

Impatto: Le vulnerabilità in containerd dalla 1.7 alla 2.3 includono image cache poisoning ed esecuzione di comandi, con CVSS fino a 8.8. AWS aggiorna i runtime gestiti; nodi self-managed e AMI personalizzate restano a carico del cliente.

Azione raccomandata: Censire le versioni di containerd su node group EKS self-managed e AMI personalizzate, aggiornare alla release upstream corretta e ruotare i nodi.

AWS Security Bulletins | CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262 | Bollettino originale

[LINEE GUIDA] Linee guida AWS per una landing zone sicura nella European Sovereign Cloud

Wed, 16 Sep 2026 06:00:00 GMT

Cosa cambia: La European Sovereign Cloud è una partizione AWS separata (aws-eusc) gestita nell'UE, con control plane e IAM propri. Account, policy e strumenti creati per le Region commerciali non vengono riportati automaticamente.

Azione raccomandata: Se si prevedono workload sovrani in UE, progettare da zero struttura degli account, SCP e logging per la partizione aws-eusc invece di copiare la configurazione commerciale.

AWS Security Blog | AWS European Sovereign Cloud | Bollettino originale

[LINEE GUIDA] PCI SSC pubblica un information supplement sulla sicurezza dei sistemi AI

Tue, 15 Sep 2026 06:00:00 GMT

Cosa cambia: Il documento tratta la sicurezza dell'AI usata negli ambienti di pagamento e la difesa dei sistemi tradizionali da attacchi che sfruttano l'AI. Sono linee guida, non nuovi requisiti, ma è probabile che gli assessor le usino come riferimento.

Azione raccomandata: Censire i componenti AI che interagiscono con il perimetro CDE o con i dati di carta e verificarli rispetto al documento prima del prossimo assessment.

PCI Security Standards Council | PCI SSC Information Supplement | Bollettino originale

[LINEE GUIDA] AWS STS sostituisce i limiti dei session token con un unico limite di 4.096 byte

Tue, 15 Sep 2026 06:00:00 GMT

Cosa cambia: STS ha sostituito i limiti di packed policy e di dimensione del session token con un unico limite di 4.096 byte e ora riporta la dimensione del token nelle risposte API. Chi usa session policy estese o molti session tag ha più margine e un modo per monitorarlo.

Azione raccomandata: Rivedere i flussi di federazione e di assunzione dei ruoli che superavano il limite di packed policy e aggiungere il monitoraggio della dimensione del token.

AWS Security Blog | AWS STS | Bollettino originale

[NUOVA NORMA] Nuovo PCI Key Management and Operations (KMO) Standard v1.0

Mon, 14 Sep 2026 06:00:00 GMT

Cosa cambia: Nuovo standard PCI con requisiti di sicurezza e di test per chi gestisce sistemi che usano chiavi crittografiche a protezione dei dati di pagamento. Riguarda in particolare processor, gestori di HSM e key custodian.

Azione raccomandata: Confrontare le procedure attuali di gestione delle chiavi (requisiti PCI DSS 3.6 e 3.7) con il KMO v1.0 ed elencare i gap prima del prossimo ciclo di assessment.

PCI Security Standards Council | PCI KMO Standard v1.0 | Bollettino originale