Una falla critica in mySCADA myPRO Manager espone controlli privilegiati senza autenticazione

CISA ha reso note due vulnerabilità di autenticazione e autorizzazione in myPRO Manager di mySCADA Technologies, tra cui una falla critica che rende accessibili agli aggressori in rete funzioni di gestione privilegiate.

Le vulnerabilità interessano mySCADA myPRO Manager versione 2.1 e precedenti. Il prodotto è utilizzato in tutto il mondo nei settori manifatturiero critico, energetico, agroalimentare, dei sistemi di trasporto e delle acque e acque reflue.

CISA ha pubblicato l’avviso ICSA-26-258-03 il 15 settembre 2026. Shirshak Secnora OÜ ha segnalato entrambe le vulnerabilità all’agenzia.

Non è stata individuata alcuna versione corretta né una patch del produttore. Al momento, gli operatori devono fare affidamento su restrizioni di rete, segmentazione e monitoraggio per ridurre l’esposizione.

Una falla nell’API dei comandi garantisce agli aggressori l’accesso privilegiato

La vulnerabilità più grave, CVE-2026-73807, consiste nell’assenza di controlli di autorizzazione nell’API dei comandi di myPRO Manager.

Un aggressore in grado di inviare richieste di rete all’API interessata non deve autenticarsi prima di richiamare funzionalità privilegiate. Lo sfruttamento non richiede inoltre alcuna interazione da parte dell’utente ed è considerato di bassa complessità.

La vulnerabilità ha ottenuto un punteggio CVSS v3.1 pari a 9,8 e il seguente vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Il punteggio CVSS v4.0 è 9,3:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CISA classifica la vulnerabilità come CWE-862, ovvero Missing Authorization. Il problema non consiste nella possibilità per un aggressore di aggirare uno specifico meccanismo di accesso. Piuttosto, l’API dei comandi non applica il controllo di autorizzazione necessario prima di eseguire operazioni sensibili.

Gli impatti potenziali su riservatezza, integrità e disponibilità sono tutti elevati. A seconda di come un’organizzazione ha distribuito myPRO Manager, un accesso non autorizzato potrebbe esporre dati di gestione, consentire modifiche alle configurazioni operative o di sistema e interrompere i servizi.

Questa combinazione è particolarmente grave negli ambienti industriali. Un’interfaccia di gestione può sovrintendere a più dispositivi o processi; la compromissione dell’interfaccia può quindi avere conseguenze che vanno oltre il server che la ospita. Non sono stati resi noti i comandi specifici esposti dallo sfruttamento né l’ampiezza del controllo sui sistemi a valle.

Il gateway di notifica consente l’invio di SMS arbitrari

La seconda vulnerabilità, CVE-2026-82567, interessa il gateway di notifica utilizzato con un modem GSM collegato.

Il gateway mette a disposizione un endpoint HTTP che accetta un numero di telefono del destinatario e il testo del messaggio. Non richiede l’autenticazione del richiedente prima di inoltrare queste informazioni al modem per la trasmissione.

Un aggressore che disponga della necessaria posizione nella rete potrebbe quindi inviare SMS arbitrari utilizzando il modem collegato dell’organizzazione. A differenza di CVE-2026-73807, la valutazione pubblicata descrive questo attacco come proveniente da una rete adiacente, anziché come un attacco possibile da qualsiasi rete raggiungibile.

CVE-2026-82567 ha ottenuto un punteggio CVSS v3.1 pari a 6,3:

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Il punteggio CVSS v4.0 è 5,3:

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

La vulnerabilità è classificata come CWE-306, Missing Authentication for Critical Function. Una volta raggiunto il gateway, non sono richiesti privilegi né interazione da parte dell’utente.

Gli effetti immediati possono includere costi per le telecomunicazioni, comunicazioni non autorizzate oppure l’esaurimento e l’uso improprio delle risorse di notifica. L’endpoint potrebbe inoltre essere utilizzato per inviare messaggi ingannevoli da un numero di telefono che i dipendenti riconoscono come appartenente a un sistema operativo affidabile.

Si tratta di un problema operativo distinto. Anche se la falla negli SMS non consente di amministrare myPRO Manager, avvisi fraudolenti potrebbero confondere il personale o interferire con i flussi di lavoro che dipendono dai messaggi di testo per la notifica degli incidenti.

Le installazioni industriali in tutto il mondo presentano diversi percorsi di esposizione

Entrambe le vulnerabilità interessano myPRO Manager versione 2.1 e precedenti, ma non devono essere considerate rischi di rete identici.

CVE-2026-73807 può essere sfruttata da remoto attraverso la rete quando l’aggressore riesce a raggiungere l’API dei comandi. La sua gravità critica riflette l’assenza di autenticazione, la bassa complessità dell’attacco e il potenziale impatto esteso sul sistema interessato.

Secondo i vettori CVSS, CVE-2026-82567 richiede l’accesso da una rete adiacente. Questo limita il percorso d’attacco previsto, ma non rende la vulnerabilità innocua. Un aggressore che comprometta un altro host nel segmento interessato potrebbe riuscire a raggiungere l’endpoint SMS dall’interno dell’ambiente.

L’architettura di rete determinerà quindi il livello di esposizione effettivo. Un’interfaccia di gestione accessibile da Internet comporta un rischio sostanzialmente diverso rispetto a un’interfaccia limitata a un segmento di controllo dedicato e a un numero ristretto di host amministrativi.

Il produttore interessato, mySCADA Technologies, ha sede in Cechia. Non sono stati resi noti i numeri esatti delle installazioni né l’identità dei clienti interessati.

Nessuna patch o versione corretta è stata annunciata

Le informazioni disponibili sulle misure correttive non indicano una versione corretta di myPRO Manager. Le organizzazioni che utilizzano la versione 2.1 o precedenti non devono presumere che sia disponibile un aggiornamento, a meno che mySCADA Technologies non fornisca indicazioni specifiche.

Fino alla conferma di una correzione, gli operatori dovrebbero individuare ogni istanza interessata e documentare quali sistemi possono comunicare con l’API dei comandi e il gateway di notifica. L’accesso pubblico da Internet dovrebbe essere rimosso.

Le regole del firewall e le allowlist di rete dovrebbero limitare entrambe le interfacce al minor numero possibile di host affidabili. Le reti dei sistemi di controllo dovrebbero inoltre rimanere separate dagli ambienti aziendali, riducendo i percorsi che un aggressore potrebbe utilizzare dopo aver compromesso un endpoint aziendale.

L’amministrazione remota dovrebbe passare attraverso un meccanismo di accesso controllato, come una VPN mantenuta aggiornata. Una VPN non corregge nessuna delle due vulnerabilità: riduce soltanto il numero di soggetti che possono raggiungere il servizio vulnerabile. Anche l’infrastruttura VPN e i dispositivi che vi si connettono devono essere configurati e aggiornati in modo sicuro.

Prima dell’implementazione, gli operatori dovrebbero valutare l’impatto operativo di ogni modifica al firewall o alla segmentazione. Bloccare bruscamente le comunicazioni in un ambiente industriale può interrompere funzioni legittime di gestione, telemetria o notifica.

Quando la funzionalità GSM non è necessaria, le organizzazioni dovrebbero valutare la possibilità di impedire l’accesso di rete al relativo gateway o di scollegare il modem, previa approvazione operativa. Se le notifiche SMS restano necessarie, solo gli host applicativi designati dovrebbero poter inviare richieste.

I responsabili della difesa dovrebbero controllare l’attività dell’API e del modem

CISA ha dichiarato di non aver ricevuto segnalazioni di sfruttamento pubblico noto mirato specificamente a una delle due vulnerabilità al momento della pubblicazione dell’avviso. Non sono stati pubblicati indicatori di compromissione specifici per queste vulnerabilità.

Non risulta inoltre alcuna voce nel catalogo CISA Known Exploited Vulnerabilities né una relativa scadenza federale per l’applicazione di misure correttive per questi CVE. L’assenza di sfruttamenti segnalati non dimostra che i sistemi esposti non siano stati sondati o utilizzati impropriamente.

I responsabili della difesa possono esaminare i log web, del reverse proxy, del firewall e dell’applicazione alla ricerca di accessi inattesi alle funzioni di gestione di myPRO Manager. Le richieste provenienti da sistemi diversi da quelli autorizzati per l’amministrazione meritano particolare attenzione, soprattutto se coincidono con modifiche alla configurazione o interruzioni del servizio.

Per CVE-2026-82567, gli operatori dovrebbero confrontare l’attività del gateway con i dati del modem GSM, i log di consegna degli SMS e la fatturazione delle telecomunicazioni. Messaggi inviati a numeri sconosciuti, raffiche insolite di trasmissioni o contenuti che non corrispondono ai modelli di avviso stabiliti possono indicare un uso improprio.

Le organizzazioni che individuano attività sospette dovrebbero seguire le proprie procedure di risposta agli incidenti industriali, conservare le evidenze di rete e applicative pertinenti e segnalare i risultati a CISA. Fino alla disponibilità di una correzione del produttore, il controllo rigoroso della raggiungibilità resta la principale misura di difesa.