Nel quadro elettrico di moltissime piccole imprese italiane c’e’ una scatola blu con la scritta Cisco. Nessuno la guarda mai. Fa il suo lavoro da anni e l’unica volta che se ne parla e’ quando la rete si ferma.
Il 5 agosto, alle 16:00 GMT, Cisco ha pubblicato dodici avvisi di sicurezza in un colpo solo. Due riguardano proprio quella scatola e il collegamento tra la sede e le altre unita’ aziendali.
La notizia utile pero’ non e’ il numero delle falle. E’ un’altra: non esiste alcun rimedio temporaneo. O si aggiorna, o si resta scoperti.
Che cosa c’e’ dentro il pacchetto
Cisco lo chiama security hardening release: una tornata di correzioni nata da una revisione interna del proprio codice, non da una segnalazione esterna e non da un incidente. E’ un dettaglio che conta, e ci torniamo.
Sul software IOS XE, quello che gira su gran parte di router e switch aziendali, gli avvisi contano sette vulnerabilita’. La piu’ grave e’ CVE-2026-20272, con punteggio 9,8 su 10: e’ una falla di tipo injection, la categoria in cui un comando estraneo riesce a farsi eseguire dall’apparato. Le altre sei stanno tra 8,6 e 9,0. Cisco precisa che il problema riguarda IOS XE nelle modalita’ autonomous e controller a prescindere dalla configurazione del dispositivo: non c’e’ una funzione da avere attiva per essere interessati.
Sul Catalyst SD-WAN, cioe’ il software che tiene insieme i collegamenti tra sede, filiali e magazzino, ci sono altre cinque falle, di cui tre a 9,9. Riguardano tutti i tipi di installazione: quella in azienda, quella in cloud e quella gestita.
Le falle IOS XE stanno nel software di router e switch e non richiedono che una funzione particolare sia attiva. Quelle di Catalyst SD-WAN hanno punteggi piu' alti, fino a 9,9, ma il vettore pubblicato da Cisco indica che servono privilegi gia' acquisiti: non sono aggredibili da un anonimo qualunque affacciato su Internet.
Fonte: Cisco Security Advisory, IOS XE e Catalyst SD-WAN Security Hardening Release, 5 agosto 2026
Il 9,9 va letto bene
Un punteggio di 9,9 fa impressione, ed e’ giusto che la faccia. Ma va letto per quello che dice.
Il vettore tecnico pubblicato da Cisco per le falle SD-WAN indica che servono privilegi anche minimi gia’ ottenuti sul sistema. Tradotto: non e’ la porta di casa che chiunque puo’ scardinare dalla strada. E’ la porta interna che diventa spalancata una volta che qualcuno e’ gia’ entrato — con credenziali rubate a un dipendente, per esempio, o attraverso un fornitore compromesso.
Non e’ una consolazione da poco, e nemmeno un motivo per rimandare: significa solo che la falla amplifica un problema, non lo crea da sola.
Perche’ “nessun workaround” cambia la decisione
Nella maggior parte dei bollettini di sicurezza esiste una via di mezzo: si disattiva una funzione, si chiude una porta, si limita un accesso, e si guadagna tempo fino alla finestra buona per aggiornare.
Qui no. Cisco scrive, su entrambi gli avvisi, che non ci sono soluzioni alternative che risolvano il problema. Resta una sola strada, l’aggiornamento del software.
Questo sposta la questione dal piano tecnico a quello del calendario. E il calendario, questa volta, gioca a favore.
Agosto e’ la finestra, non settembre
Un aggiornamento di router e switch comporta un riavvio, e un riavvio comporta minuti — a volte decine di minuti — in cui la rete non c’e’: niente gestionale, niente posta, niente registratore di cassa collegato, niente terminali di magazzino.
Farlo il secondo lunedi’ di settembre, con tutti rientrati e gli ordini che ripartono, significa fermare l’azienda in un momento caro. Farlo nella settimana di chiusura o a organico ridotto significa non fermare quasi nessuno.
E’ l’unico vantaggio di ricevere un bollettino il 5 agosto: per una volta la finestra di manutenzione arriva prima del problema, e non dopo.
Le stesse operazioni costano in modo molto diverso a seconda di quando si fanno. In agosto un fermo di rete e' una scomodita' organizzativa. A settembre, con l'azienda a pieno regime e magari con un attacco gia' partito, diventa un fermo di produzione con un tecnico da chiamare in emergenza.
Le versioni che risolvono
Servono a te solo per una cosa: metterle nero su bianco a chi gestisce la rete, cosi’ la risposta non puo’ essere vaga.
- IOS XE — le release corrette sono 17.9.10, 17.12.8, 17.15.6, 17.18.4 (e 17.18.4a) e 26.1.2, a seconda della versione oggi installata. Le release interessate dal problema sono la 17.9, la 17.12, la 17.15, la 17.18 e la 26.1.
- Catalyst SD-WAN — le versioni correttive sono 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 e 26.1.2.
Cisco segnala inoltre che i modelli Catalyst 3650 e 3850 non sono stati valutati, perche’ non eseguono queste release: chi ha quegli apparati e’ fuori da questo specifico bollettino, il che dice pero’ anche un’altra cosa sull’eta’ del proprio parco macchine.
Il punto che resta
C’e’ una lettura piu’ generale, e vale anche per chi in azienda non ha nulla di marca Cisco.
La rete aziendale viene trattata quasi ovunque come un elettrodomestico: si compra, si installa, si dimentica. Ma un elettrodomestico non riceve avvisi di sicurezza dodici alla volta, e soprattutto non e’ la strada da cui passano il gestionale, le fatture, i backup e i pagamenti.
L’unica cosa che distingue un’azienda preparata da una impreparata, in questi casi, non e’ avere apparati piu’ costosi. E’ sapere che versione di software ci gira sopra — e sapere a chi chiederlo.