Il 29 gennaio Ivanti ha pubblicato le correzioni per due vulnerabilità critiche in Endpoint Manager Mobile (EPMM), il software installato in sede con cui molte organizzazioni gestiscono smartphone e tablet aziendali. Le falle, CVE-2026-1281 e CVE-2026-1340, entrambe con gravità 9,8, permettono a un attaccante senza credenziali di eseguire codice sul server. Ivanti ha confermato che una era già sfruttata «in un numero limitato di casi».
Se il nome del prodotto ti sembra familiare, è perché non è la prima volta. Nel luglio 2023 una falla nello stesso software era servita a violare dodici ministeri norvegesi, e a maggio 2025 un’altra coppia di vulnerabilità di EPMM era stata sfruttata subito dopo la pubblicazione.
Il «numero limitato» comincia a farsi sentire
Nei giorni successivi sono arrivate le conseguenze in Europa. Il governo olandese ha informato il parlamento che l’Autorità per la protezione dei dati e il Consiglio della magistratura sono stati colpiti: gli attaccanti hanno visto nomi, email e numeri di telefono di lavoro dei dipendenti. Che l’ente incaricato di vigilare sulla privacy finisca tra le vittime ha una sua ironia amara.
La Commissione europea ha rilevato tracce di un attacco del 30 gennaio contro la propria infrastruttura di gestione dei dispositivi mobili, che potrebbe aver esposto nomi e numeri di cellulare di parte del personale. L’incidente è stato contenuto in nove ore e nessun dispositivo risulta compromesso.
Gli attacchi sono proseguiti anche dopo l’uscita delle correzioni, e i ricercatori segnalano web shell «dormienti» lasciate sui server colpiti, pronte a essere riattivate.
Un sistema di gestione dei dispositivi mobili conosce tutti i telefoni aziendali e i loro utenti, e spesso può installare app o cambiare configurazioni. Anche quando il bottino sembra fatto «solo» di contatti, è il materiale di partenza per un phishing mirato contro persone e istituzioni sensibili.
Applica subito le correzioni, ma non fermarti lì: con le web shell dormienti, un server aggiornato può essere ancora compromesso. Cerca nei log e nelle cartelle dell’applicazione file che non riconosci. Se trovi tracce, ricostruisci il server da zero, ruota credenziali e account di servizio collegati e verifica le configurazioni inviate ai dispositivi.
Limita le interfacce di amministrazione e le API di EPMM a reti fidate. E avvisa il personale: nei prossimi mesi qualcuno potrebbe chiamarli per nome, dal numero giusto.
