Cos'è una vulnerabilità informatica? Le falle di sicurezza spiegate semplice

WindowsMaciPhoneAndroidAggiornato

Una vulnerabilità è un punto debole che un attaccante potrebbe sfruttare. Il glossario del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), spiega che le vulnerabilità tecniche «sono dovute a falle di sicurezza del software applicativo, del firmware, dell'hardware ovvero dei protocolli di comunicazione», principalmente bug o configurazioni non corrette. Chi produce il software le corregge con gli aggiornamenti. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Una vulnerabilità è una debolezza in un software, in un sistema o in un processo che degli attaccanti possono sfruttare per azioni malevole. Le falle vengono scoperte da ricercatori e produttori, segnalate a chi è responsabile, corrette e poi rese pubbliche con un avviso. Installare presto gli aggiornamenti è il modo in cui la correzione arriva sui tuoi dispositivi.

Cosa vuol dire vulnerabilità nella sicurezza informatica?

In parole semplici, un varco che non dovrebbe esserci. Il glossario del CSIRT Italia distingue due tipi. Le vulnerabilità organizzative e di processo nascono da misure di sicurezza mancanti o applicate male. Quelle tecniche sono falle nel software, nel firmware, nell'hardware o nei protocolli di comunicazione. E aggiunge che entrambi i tipi possono essere sfruttati da attaccanti per azioni malevole.

Il NIST, l'istituto statunitense per gli standard e la tecnologia, dà una definizione più formale: una debolezza in un sistema informativo, nelle sue procedure di sicurezza, nei controlli interni o nell'implementazione, che potrebbe essere sfruttata da una minaccia.

Tre parole compaiono spesso accanto a vulnerabilità, e il CSIRT Italia le definisce così:

  • Exploit: un mezzo informatico, in genere un software, usato per sfruttare la vulnerabilità di un sistema per accedervi abusivamente o compiere azioni malevole. Il termine indica anche la vulnerabilità stessa.
  • Zero day: una vulnerabilità non ancora nota al produttore della tecnologia. La sua gravità sta nell'assenza di aggiornamenti per correggerla.
  • Patch: il software sviluppato per eliminare o mitigare le vulnerabilità e altri bug del programma a cui si riferisce.

Una vulnerabilità da sola non è un attacco. È un punto debole che potrebbe essere usato, ed è per questo che i consigli che la seguono parlano di correggerla prima che qualcuno lo faccia.

Come vengono scoperte le vulnerabilità?

La CISA indica tra chi le segnala ricercatori e produttori. Il CSIRT Italia spiega che una segnalazione può arrivare da qualsiasi persona fisica o giuridica, anche in forma anonima. Il NCSC britannico scrive che le vulnerabilità di sicurezza vengono scoperte di continuo, e che chi le trova vuole poterle segnalare direttamente all'organizzazione responsabile.

Per questo il NCSC invita le organizzazioni a rendere facile la segnalazione. Il suo Vulnerability Disclosure Toolkit consiglia un canale di contatto chiaro, come un modulo web sicuro, e una politica pubblicata che dica cosa può aspettarsi chi segnala. Descrive anche security.txt, un piccolo file che un sito può pubblicare perché chi trova un problema sappia a chi dirlo.

Cos'è la divulgazione coordinata delle vulnerabilità?

È il modo ordinato per far correggere e poi annunciare una falla. Il CSIRT Italia la descrive come un processo strutturato in cui le vulnerabilità vengono segnalate al produttore o al fornitore, così che possa diagnosticarle ed eliminarle prima che i dettagli vengano divulgati a terzi o al pubblico.

In Italia il decreto NIS (decreto legislativo 4 settembre 2024, n. 138) affida al CSIRT Italia il ruolo di coordinatore. Il processo coinvolge tre parti:

  1. Chi segnala la vulnerabilità e fornisce le informazioni necessarie al CSIRT Italia.
  2. Il CSIRT Italia, che riceve la segnalazione, svolge le analisi tecniche insieme al produttore e gestisce le comunicazioni.
  3. Il produttore o fornitore, che individua le misure di mitigazione e produce gli aggiornamenti nei tempi concordati.

La politica italiana riguarda solo le vulnerabilità non ancora note pubblicamente, le zero day. La CISA, l'agenzia statunitense per la cybersicurezza, segue un processo simile, e dice che se un produttore non risponde o non concorda tempi ragionevoli può rendere pubblica la falla già 45 giorni dopo il primo tentativo di contatto, che esista o no una patch.

Come ricevono un nome e una correzione?

Molte ricevono un numero CVE. Il glossario del CSIRT Italia descrive la CVE (Common Vulnerabilities and Exposures) come una lista di vulnerabilità note, ognuna con un identificativo univoco, una descrizione e almeno un riferimento pubblico. Per questo gli avvisi citano codici come CVE-2026-109618. La guida su CVE e punteggi CVSS spiega cosa significano numeri e livelli di gravità.

La correzione è di solito una patch, distribuita come aggiornamento.

Perché gli aggiornamenti contano?

Perché l'aggiornamento è il modo in cui la correzione arriva a te. La Polizia Postale spiega che un dispositivo non aggiornato può avere vulnerabilità sfruttabili da malintenzionati per accedere ai tuoi dati o ai tuoi account o, in alcuni casi, prendere il controllo del dispositivo senza che tu te ne accorga. Consiglia di aggiornare appena possibile il sistema operativo e le app che usi, e se manca lo spazio, di fare prima un backup e liberarlo invece di rinunciare.

Il NCSC aggiunge che i produttori prima o poi smettono di aggiornare i dispositivi più vecchi. Un dispositivo non più supportato non riceve aggiornamenti di sicurezza, e il NCSC dice che questo rende un telefono meno sicuro.

Cosa mostra PHP2Shell sulle vulnerabilità?

PHP2Shell è un esempio recente dell'intero ciclo. Il 21 ottobre 2026 il progetto PHP ha annunciato due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che possono permettere l'esecuzione di codice da remoto senza autenticazione, e ha rilasciato le versioni corrette lo stesso giorno. Il suo avviso dice che le distribuzioni Linux e i fornitori con supporto a lungo termine avevano ricevuto le patch in anticipo. Il CSIRT Italia ha pubblicato il suo alert lo stesso giorno, raccomandando di aggiornare.

Sullo sfruttamento, al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CSIRT Italia scrive: «Si evidenzia, inoltre, la disponibilità in rete di Proof of Concept (PoC) per lo sfruttamento di entrambe le vulnerabilità.» Il quadro completo è nella guida alla vulnerabilità PHP.

Altre domande

Cos'è una proof of concept?

Il CSIRT Italia la definisce come la dimostrazione dell'idea o del metodo usati per individuare la presenza o lo sfruttamento di una vulnerabilità. Aggiunge che una vulnerabilità diventa più pericolosa quando una PoC è pubblica, perché da quel momento sfruttarla è più semplice e immediato.

Una vulnerabilità è la stessa cosa di un virus?

No. Il CSIRT Italia definisce il virus come un tipo di malware, cioè un programma capace di danneggiare file e di replicarsi. La vulnerabilità è il punto debole, e l'exploit è il mezzo per sfruttarlo. Per questo il consiglio è correggerla prima che qualcuno la usi.

Ogni vulnerabilità viene corretta?

Non sempre in fretta. La CISA dice che, se un produttore non risponde, può pubblicare una falla dopo 45 giorni anche senza patch. Il software fuori supporto può non ricevere alcuna correzione: il progetto PHP dice che PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto.

Cosa succede se il mio dispositivo non riceve più aggiornamenti?

Il NCSC dice che un dispositivo non più supportato non riceve gli aggiornamenti di sicurezza del produttore, e che questo lo rende meno sicuro. Suggerisce di controllare online se un modello riceve ancora aggiornamenti. Vale anche per il software: PHP è sicuro? mostra come funziona il supporto delle versioni di PHP.

Ho trovato una falla in un sito. Come la segnalo?

Cerca la politica di divulgazione delle vulnerabilità dell'organizzazione o il suo file security.txt, che il NCSC consiglia di pubblicare. Per una vulnerabilità non ancora nota in un servizio o prodotto TIC, il CSIRT Italia accetta segnalazioni tramite la sua piattaforma, anche in forma anonima.

Fonti