Il 22 luglio 2026 sette agenzie federali statunitensi — FBI, CISA, NSA, EPA, DOE, U.S. Cyber Command CNMF e Tesoro — hanno diffuso il joint advisory AA26-097A su una campagna attiva di attori APT legati all'Iran contro controllori logici programmabili (PLC) esposti a Internet. I target includono dispositivi Rockwell Automation, Schneider Electric e Siemens installati in infrastrutture critiche americane. Il cuore tecnico della campagna è CVE-2021-22681, una falla di bypass dell'autenticazione con CVSS 9.8 che Rockwell ha confermato non patchabile senza rompere la compatibilità con tutti i controller già distribuiti.
- Sette agenzie federali co-firmano l'avviso AA26-097A: la campagna è attribuita ad attori legati all'IRGC Cyber-Electronic Command (CEC), coerenti con l'ecosistema CyberAv3ngers.
- Gli attaccanti usano software di ingegneria legittimo — Studio 5000 Logix Designer, EcoStruxure Control Expert, TIA Portal — ospitato su infrastruttura noleggiata per accedere ai PLC e manipolare i file di progetto.
- CVE-2021-22681 (CVSS 9.8) è una falla critica nei PLC Rockwell Logix senza patch disponibile o prevista; CISA l'ha inserita nel catalogo KEV il 23 giugno 2026.
- Oltre 30 sistemi idrici e fognari del Minnesota sono stati colpiti il 26-27 luglio 2026; la città di Braham ha dovuto chiudere temporaneamente l'impianto di trattamento acqua.
Il metodo: ingegneria legittima come arma
Gli attori della minaccia non ricorrono a exploit zero-day né a malware personalizzato. Secondo l'avviso AA26-097A, accedono ai PLC attraverso software di configurazione legittimo dei vendor, ospitato su server noleggiati. Dove possibile, sfruttano CVE-2021-22681 per aggirare l'autenticazione sui dispositivi Rockwell esposti su Internet.
Una volta ottenuto l'accesso, scaricano i file di progetto (.ACD per Rockwell), li modificano offline e li ricaricano sui controllori. La modifica principale riguarda le Add-On Instructions (AOI): moduli di codice riutilizzabile in cui gli attaccanti sovrascrivono parametri di sicurezza preservando la logica operativa a valle. In parallelo, alterano i dati visualizzati sui pannelli HMI e sui sistemi SCADA, sostituendo le letture dei sensori reali con valori falsificati che indicano condizioni normali.
Come riporta TechTimes, citando il testo dell'avviso CISA: "Un operatore che osserva un display che mostra pressione, temperatura o livelli chimici sicuri non ha modo di sapere se quei numeri riflettono la realtà o una finzione controllata dall'attaccante". La persistenza viene mantenuta tramite Dropbear SSH installato su modem cellulari compromessi, con traffico veicolato sulle porte industriali standard: 44818 (EtherNet/IP), 2222, 102 (Siemens S7), 502 (Modbus TCP) e 22 per SSH.
CVE-2021-22681: il debito tecnologico diventa minaccia nazionale
La vulnerabilità CVE-2021-22681 è stata divulgata nel febbraio 2021. Riguarda un difetto architetturale nel meccanismo di autenticazione dei PLC Rockwell Logix: la chiave di verifica è hardcoded in modo che il bypass sia intrinseco al design dello Studio 5000. Rockwell ha confermato che non esiste patch né è prevista, perché qualsiasi correzione romperebbe la compatibilità con l'intero parco installato.
CISA ha inserito il CVE nel catalogo Known Exploited Vulnerabilities il 23 giugno 2026, cinque anni dopo la divulgazione originale. L'impatto è amplificato dalla diffusione dei dispositivi: secondo l'analisi Censys di aprile 2026, risultano 5.219 dispositivi Rockwell/Allen-Bradley esposti su Internet a livello globale, di cui il 74,6% — 3.891 unità — negli Stati Uniti.
I modelli specificamente menzionati nelle fonti sono gli Allen-Bradley CompactLogix e Micro850, i Schneider BMX P34 e Modicon M340, e i Siemens S7-1200. L'aggiornamento del 22 luglio 2026 ha esteso il campo d'azione della campagna da Rockwell-only a una minaccia cross-vendor, alterando radicalmente il profilo di rischio per gli operatori di infrastrutture critiche.
Il fronte Minnesota: quando l'attacco tocca il rubinetto di casa
Tra il 26 e il 27 luglio 2026, oltre 30 sistemi idrici e fognari della Minnesota sono stati colpiti da un attacco coordinato con profilo comune. TechTimes nomina esplicitamente quattro comuni: Braham (circa 1.700 abitanti), dove l'impianto di trattamento acqua è stato temporaneamente chiuso; Plymouth (circa 80.000 abitanti), che ha preventivamente disconnesso l'equipaggiamento cellulare connesso; South St. Paul e Maple Plain.
Tenable ha valutato che il pattern operativo e la tempistica dell'attacco Minnesota siano coerenti con l'ecosistema CyberAv3ngers. Si tratta tuttavia di una valutazione di threat intelligence privata: non risulta al momento un'attribuzione ufficiale governativa per questi specifici incidenti. La fonte non specifica se le tecniche utilizzate nel Minnesota siano identiche a quelle del più ampio campaign documentato nell'AA26-097A, o se rappresentino una proliferazione indipendente.
Nate George, sindaco di Braham, è citato da TechTimes: "I governi locali del Minnesota sono chiamati a difendere sistemi essenziali contro avversari stranieri e criminali sofisticati, spesso con personale limitato, tecnologia obsoleta e risorse inadeguate".
"Un singolo controllore esposto può sembrare una debolezza locale. Nelle infrastrutture critiche, può diventare parte di un problema di sicurezza nazionale molto più ampio." — Ross Filipek, CISO di Corsica Technologies
Cosa fare adesso
L'avviso AA26-097A e le fonti tecniche convergenti indicano quattro priorità operative per gli operatori di infrastrutture OT:
- Rimuovere l'esposizione Internet dei PLC: disconnettere i controllori dalla rete pubblica, rimuovere le porte industriali dai gateway perimetrali e verificare che i modem cellulari non espongano servizi di gestione.
- Segmentare le reti OT da quelle IT e da Internet: isolare i sistemi di controllo industriale in VLAN o zone dedicate, con monitoraggio del traffico trans-zona.
- Auditare la logica PLC contro backup noti-good: confrontare i file di progetto attuali con copie offline verificate prima dell'incidente, con attenzione specifica alle modifiche nelle Add-On Instructions (AOI).
- Verificare che i display HMI/SCADA riflettano i dati dei sensori reali: implementare controlli incrociati tra letture digitali e strumentazione analogica indipendente, riducendo la dipendenza da un'unica sorgente di visualizzazione.
Il limite della risposta: quando la patch non esiste
La natura non patchabile di CVE-2021-22681 sposta il problema dalla gestione delle vulnerabilità alla riconfigurazione architetturale. Gli operatori devono sostituire i controllori, ridisegnare la topologia di rete o entrambe le cose. Per le utility municipali con budget limitati, questa è una prospettiva che si estende su anni, non su settimane.
L'ampliamento della campagna a Schneider e Siemens, avvenuto il 22 luglio 2026, elimina l'ipotesi che un cambio di vendor possa risolvere il rischio. Il dossier non conferma se i dispositivi Schneider e Siemens presentino vulnerabilità equivalenti a CVE-2021-22681, o se l'espansione sia opportunistica basata sull'esposizione Internet e sulla riconfigurabilità via software legittimo. In assenza di patch definitive, la postura difensiva dipende interamente dalla riduzione della superficie d'attacco e dalla verifica indipendente dei dati operativi.
Il Dipartimento di Stato ha messo una taglia di 10 milioni di dollari per informazioni sulle attività di CyberAv3ngers. L'incentivo economico non risolve tuttavia il deficit strutturale: migliaia di PLC rimangono esposti, la maggior parte negli Stati Uniti, e la tecnica di living-off-the-land rende l'attacco indistinguibile dal traffico di gestione legittimo fino al momento della verifica manuale della logica.
Perché questo segnale è diverso
Le campagne precedenti di CyberAv3ngers — come quella di novembre 2023 contro almeno 75 dispositivi Unitronics in Israele e negli Stati Uniti — miravano a esposizione pubblica e interruzione visibile. La campagna documentata nell'AA26-097A introduce una dimensione stealth: la sovrascrittura della realtà operativa senza arrestare i processi, con l'operatore ridotto a spettatore di dati potenzialmente falsi.
La differenza tra un PLC compromesso e uno integro non è rilevabile da endpoint security tradizionali, né da network monitoring generico. Richiede competenze specifiche di OT security, accesso ai backup dei progetti e capacità di analisi del codice ladder o function block — skill che le piccole utility municipali raramente possiedono internamente. Il Minnesota ha mostrato dove questo divario conduce: a interruzioni del servizio idrico in comunità di poche migliaia di abitanti, difese da sindaci che chiedono risorse che non arriveranno in tempo per il prossimo attacco.
Domande frequenti
Perché CVE-2021-22681 non può essere patchata?
La vulnerabilità risiede nel design del meccanismo di autenticazione di Studio 5000, dove la chiave di verifica è hardcoded. Correggerla richiederebbe modifiche che renderebbero incompatibili tutti i controller già distribuiti. Rockwell ha confermato che non esiste né è prevista una patch.
I dispositivi Schneider e Siemens sono vulnerabili allo stesso modo?
Il dossier non conferma vulnerabilità specifiche equivalenti a CVE-2021-22681 per questi vendor. L'espansione della campagna a Schneider e Siemens potrebbe basarsi sull'esposizione Internet e sull'uso di software di ingegneria legittimo, piuttosto che su una falla critica identica. La fonte non specifica il meccanismo di accesso per questi dispositivi.
Come si rileva un PLC compromesso se l'HMI mostra valori normali?
L'avviso CISA raccomanda di confrontare i file di progetto PLC con backup noti-good e di verificare incrociatamente le letture dei sensori con strumentazione indipendente. La falsificazione dei display HMI è progettata per eludere il monitoraggio operator-centrico, non un audit tecnico della logica del controllore.
Fonti
- https://gbhackers.com/iranian-hackers-exploit-rockwell/
- https://www.techtimes.com/articles/321335/20260723/iranian-hackers-infiltrate-siemens-schneider-plcs-blinding-operators-fake-readings.htm
- https://www.infosecurity-magazine.com/news/iran-hackers-siemen-schneider-ics/
- https://www.techtimes.com/articles/322059/20260729/iranian-hackers-exploited-unpatchable-plc-flaw-breach-30-minnesota-water-systems.htm
- https://cybersecuritynews.com/iran-hackers-exploit-rockwell-plcs/
- https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog
- https://www.securityweek.com/cal-water-finds-no-evidence-of-ot-activity-after-hackers-claimed-they-could-disrupt-water-supply/
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
- https://d.techtimes.com/en/full/469533/department-justice-employee-put-poster-seven.jpg?w=836&f=8dc1fda1836b7fe57d0633f9cb759808
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.