Allerta per i sistemi SCADA: una vulnerabilità in Schneider Electric IGSS consente esecuzione di codice tramite file CGF

Il 30 luglio 2026 la CISA ha pubblicato l’advisory ICSA-26-211-04, che segnala una vulnerabilità di alta gravità nel modulo IGSS Definition (Def.exe) del sistema SCADA IGSS di Schneider Electric. Tracciata con il codice CVE-2026-12927, la falla è una scrittura fuori dai limiti di memoria (CWE-787) con punteggio CVSS 3.1 pari a 7.8. Per sfruttarla è necessario che un utente importi un file CGF appositamente manipolato. L’impatto potenziale spazia dall’esecuzione di codice arbitrario fino alla perdita del controllo sul processo industriale monitorato.

Un vettore locale che richiede interazione ma offre massimo privilegio

L’attacco presenta un profilo tecnico che merita attenzione: il vettore è locale (AV:L), la complessità è bassa (AC:L) e non sono richiesti privilegi sul sistema (PR:N). Il tutto, però, ruota attorno a un’interazione umana indispensabile (UI:R): la vittima deve caricare nell’applicazione un file con estensione CGF contenente il payload malevolo. Se questa condizione si verifica, l’aggressore può innescare la scrittura fuori confine e ottenere la piena compromissione di riservatezza, integrità e disponibilità (C:H/I:H/A:H). In sostanza, basta un doppio clic sul file sbagliato.

Cosa succede dopo la compromissione del modulo Def.exe

Una volta innescata la vulnerabilità, l’attaccante esegue codice con i privilegi dell’applicazione IGSS Definition. Tale esecuzione può essere estesa al sistema operativo sottostante con tecniche comuni di privilege escalation, rendendo possibile il furto o la corruzione di dati di processo, la modifica non autorizzata della logica di controllo e l’interruzione dei flussi produttivi supervisionati dalla piattaforma SCADA. In ambienti dove IGSS governa infrastrutture critiche – distribuzione idrica, impianti energetici o linee di produzione – la perdita di controllo può tradursi in danni fisici e fermi operativi.

Versioni coinvolte e aggiornamento risolutivo

I prodotti interessati sono le versioni di IGSS Definition fino alla 18.0.0.26124 inclusa, più la release 18.0.0.26125. Schneider Electric ha già rilasciato una patch correttiva (stato “fixed”), disponibile attraverso il portale di supporto ufficiale: https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp. Tutti gli amministratori di sistema che gestiscono installazioni IGSS dovrebbero verificare la propria versione e applicare l’aggiornamento senza ritardi.

Mitigazioni immediate e strategie di difesa per l’OT

Chi non può installare subito la correzione può ridurre il rischio adottando alcune contromisure. La prima, e più efficace, consiste nell’importare file CGF esclusivamente da fonti attendibili, verificando l’integrità del contenuto prima dell’utilizzo. Vanno inoltre rafforzate le best practice per gli ambienti OT: isolamento della rete SCADA tramite firewall e DMZ, accessi remoti protetti da VPN, sanificazione dei supporti rimovibili, disabilitazione della modalità “Program” sui controller e controllo fisico degli accessi alle workstation IGSS. Infine, il monitoraggio proattivo dei log delle macchine su cui gira Def.exe può rilevare tentativi di sfruttamento in corso, consentendo un intervento prima che il danno si consolidi.

Origine della segnalazione e riferimenti ufficiali

La vulnerabilità è stata segnalata a CISA da Schneider Electric stessa e dal ricercatore indipendente Michael Heinzl. L’advisory completo è consultabile nel repository CSAF di CISA (file csaf_files/OT/white/2026/icsa-26-211-04.json) e fa riferimento all’identificatore CVE-2026-12927.