CVE-2026-63017: escalation ad admin in PowerSYSTEM Center, come verificare e aggiornare

CVE-2026-63017 è una falla di autorizzazione errata in PowerSYSTEM Center di Subnet Solutions, piattaforma usata nel settore energia e nella manifattura critica. Un utente autenticato con privilegi bassi può accedere a risorse riservate agli amministratori. Il punteggio CVSS 4.0 è 9.4, gravità critica. La correzione esiste: PowerSYSTEM Center 2020 Update 30 e PowerSYSTEM Center 2026 Update 1.1. Chi usa la versione 2024 deve passare alla 2026 Update 1.1. Qui sotto spiego come capire se sei esposto e cosa fare, in ordine di priorità.

Cosa è successo: la vulnerabilità CVE-2026-63017 in PowerSYSTEM Center

CISA ha pubblicato l'advisory ICSA-26-307-01 il 3 novembre 2026. Il record NVD è del 6 novembre 2026. La segnalazione arriva da Chinmay Patel di Digital Boundary Group e dalla stessa Subnet Solutions. Il problema è un controllo di autorizzazione implementato in modo scorretto (incorrect authorization): l'applicazione verifica che l'utente sia autenticato, ma non controlla a sufficienza che abbia il ruolo necessario per la risorsa richiesta. Lo stesso advisory copre una seconda falla, CVE-2026-63774, una SQL injection che riguarda le versioni 2024 e 2026. Le due vulnerabilità insieme permettono di eseguire comandi SQL non autorizzati e di raggiungere risorse riservate.

Chi è colpito: versioni vulnerabili di PowerSYSTEM Center

Secondo l'advisory sono vulnerabili a CVE-2026-63017 queste versioni:

• PowerSYSTEM Center 2020: tutte le release fino alla 5.29.x inclusa
• PowerSYSTEM Center 2024: dalla 6.0.x alla 6.2.x inclusa (colpita anche da CVE-2026-63774)
• PowerSYSTEM Center 2026: dalla 7.0.x alla 7.1.x inclusa (colpita anche da CVE-2026-63774)

Il prodotto è diffuso in tutto il mondo nei settori energia e manifattura critica. In Italia lo trovi tipicamente in utility, impianti di produzione e distribuzione, e in aziende industriali che gestiscono apparati di campo da una console centrale.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore CVSS 4.0 è AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. In pratica: l'attaccante deve trovarsi su una rete adiacente (AV:A), non serve complessità né condizioni particolari, basta un account con privilegi bassi (PR:L) e non è richiesta alcuna azione da parte di altri utenti. L'impatto è alto su riservatezza, integrità e disponibilità, sia del sistema vulnerabile sia dei sistemi collegati (SC:H/SI:H/SA:H). Questo ultimo punto è quello che pesa di più in un contesto OT: una console che comanda apparati di campo, se controllata da chi non dovrebbe, trascina con sé tutto ciò che gestisce. CISA riporta anche un punteggio CVSS v3 pari a 9.

Cosa ottiene un attaccante: una escalation di privilegi da utente ordinario a funzioni amministrative. Non è un'esecuzione di codice remoto in senso stretto, ma in combinazione con la SQL injection CVE-2026-63774 il perimetro si allarga. La vulnerabilità non risulta nel catalogo CISA KEV, quindi non ci sono conferme pubbliche di sfruttamento attivo. Dettagli tecnici dell'exploit non sono stati resi noti e vanno verificati sull'advisory del produttore.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica della versione

Controlla la release installata nella schermata informazioni della console di PowerSYSTEM Center oppure nei documenti di installazione forniti dall'integratore. Se il numero rientra negli intervalli elencati sopra, sei vulnerabile. In caso di dubbio il supporto Subnet Solutions può confermare la versione a partire dal contratto.

Verifica dell'esposizione

Il componente da guardare è il Client Access Server, cioè la parte che serve l'interfaccia agli utenti. Rispondi a tre domande:

1. È raggiungibile da internet? Da una rete esterna prova nmap -Pn -p 80,443 indirizzo-pubblico e controlla le regole NAT del firewall.
2. È raggiungibile dalla rete uffici o solo dalla rete di controllo? Il vettore è "adjacent": più segmenti vedono il server, più account possono abusarne.
3. Quanti account a basso privilegio esistono? Ogni utente in più è un potenziale punto di partenza.

Cosa guardare nei log

Il produttore stesso consiglia di monitorare gli user activity records dell'applicazione. Cerca accessi a funzioni amministrative da account che non hanno quel ruolo, creazioni o modifiche di utenti, cambi di configurazione fuori orario, query anomale verso il database. Sul server Windows che ospita il prodotto confronta i log di accesso con la lista del personale autorizzato.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Subnet Solutions ha rilasciato le correzioni. L'intervento dipende dalla generazione del prodotto:

• PowerSYSTEM Center 2020: aggiornare a PowerSYSTEM Center 2020 Update 30.
• PowerSYSTEM Center 2024: non è indicato un aggiornamento nella stessa linea; il produttore raccomanda il passaggio a PowerSYSTEM Center 2026 Update 1.1.
• PowerSYSTEM Center 2026: aggiornare a PowerSYSTEM Center 2026 Update 1.1.

I pacchetti si ottengono tramite il canale di supporto del produttore: team System Integration o customer support, telefono (403) 270-8885, email support@subnet.com. Per la versione 2024 il passaggio di generazione è un progetto, non una semplice patch: pianifica una finestra di manutenzione, un backup completo e un test di ripristino prima di toccare l'ambiente di produzione.

Cosa fare subito: mitigazioni e hardening

Se non puoi aggiornare oggi, applica queste misure in questo ordine:

1. Monitora gli user activity records e verifica che gli utenti rispettino le policy d'uso. È la mitigazione indicata dal produttore.
2. Disabilita l'accesso agli strumenti di sviluppo del browser (F12) per gli utenti del Client Access Server, come raccomanda Subnet Solutions. In ambienti Windows si fa in genere con le policy del browser distribuite via GPO.
3. Riduci gli account: elimina utenti inattivi, verifica che nessun account di servizio o condiviso abbia accesso alla console.
4. Segmenta: il Client Access Server deve essere raggiungibile solo dalla VLAN di gestione o tramite VPN, mai dalla rete uffici né da internet.
5. Dopo l'aggiornamento ruota le credenziali degli amministratori e degli account di database, perché un abuso precedente potrebbe averle esposte.

Queste misure riducono il rischio ma non lo eliminano. L'unico rimedio è l'aggiornamento. Se la segmentazione della rete OT non è mai stata rivista, questo è il momento: nel mio lavoro di consulenza su reti e sicurezza parto sempre da lì.

Se sospetti una compromissione: incident response e analisi forense

Se dai log emergono accessi anomali, non spegnere il server e non reinstallare nulla. Spegnere cancella la memoria volatile e con essa sessioni, connessioni e processi utili a capire cosa è successo. Procedi così:

• isola il sistema a livello di rete senza interrompere l'alimentazione;
• preserva i log applicativi, del database e del sistema operativo su un supporto separato;
• acquisisci memoria e disco con una copia forense verificata da hash, così da poter usare le prove anche in sede legale o assicurativa;
• valuta gli obblighi di notifica: NIS2 per i soggetti che vi rientrano, GDPR se sono coinvolti dati personali;
• solo dopo l'acquisizione procedi con bonifica, aggiornamento e rotazione delle credenziali.

Per queste attività offro incident response con preventivo a prezzo fisso, indicativamente da 1.500 a 6.000 €, e acquisizione forense in giornata. Come prepararsi prima che succeda lo spiego anche nell'articolo sul malware in azienda e le prime 24 ore.

Fonti ufficiali

• CISA ICS Advisory ICSA-26-307-01: Subnet Solutions PowerSYSTEM Center
• CISA CSAF ICSA-26-307-01 (formato machine readable)

Serve aiuto con CVE-2026-63017 e PowerSYSTEM Center?

Se gestisci un impianto con PowerSYSTEM Center e vuoi una verifica indipendente dell'esposizione, una revisione della segmentazione o un supporto nell'analisi dei log, scrivimi. Rispondo entro 24 ore dalla richiesta di preventivo, oppure trovi i recapiti nella pagina contatti. Lavoro di persona a Varese, Como e Milano e da remoto in tutta Italia.