741 Aziende Italiane Fanno le Fatture con un Gestionale che ha 17 Avvisi di Sicurezza e un Bypass Amministratore Senza Password. Il 93% è su Linee Consumer.

Questo articolo è la versione italiana di un'analisi che abbiamo pubblicato oggi in inglese. Lo ripubblichiamo in italiano perché le persone che dovrebbero leggerlo non leggono blog di sicurezza in inglese, e nessun altro glielo dirà.

OpenSTAManager è un gestionale open source scritto in PHP. Fa due cose per le piccole imprese italiane: gestisce l'assistenza tecnica e produce la fatturazione elettronica.

La seconda non è facoltativa. L'Italia impone la fattura elettronica tramite il Sistema di Interscambio, quindi un idraulico di Bergamo o un elettricista fuori Bari non usa questo software perché ama la contabilità. Lo usa perché la legge richiede quel documento, e questo è il modo gratuito di produrlo.

Abbiamo contato 741 installazioni esposte su internet. Poi abbiamo contato gli avvisi di sicurezza. I due numeri insieme descrivono un problema che nessuno verrà a risolvere.

Chi lo usa davvero

Delle 741 installazioni esposte, 731 sono in Italia. Cinque in Germania, due a Singapore, una ciascuna in Francia, Regno Unito e Stati Uniti. È un problema su scala nazionale in esattamente una nazione.

Il dato che dice chi sono queste persone è l'hosting. Seicentonovantatré su 741 — il 93,5% — sono su Telecom Italia Mobile. Non un provider di hosting: linee consumer e per piccole attività. Il resto è Fastweb, Vodafone Italia e una manciata di piccoli ISP regionali. Esattamente cinque installazioni si trovano su qualcosa che somigli a un hosting professionale.

Non sono server in datacenter con un team che li gestisce e una finestra di manutenzione. Sono computer nel retro dell'ufficio, con la porta aperta sul router perché il titolare possa controllare le fatture da casa. Qualcuno ha configurato quella macchina una volta, probabilmente anni fa, e da allora funziona — che dal punto di vista del titolare è la definizione di successo.

Cosa c'è che non va

Abbiamo estratto lo storico completo degli avvisi invece di fermarci a un titolo. Da novembre 2025 sono stati pubblicati diciassette avvisi: undici SQL injection, un cross-site scripting, un caricamento arbitrario di file che porta all'esecuzione di codice, una deserializzazione insicura che porta anch'essa all'esecuzione di codice, e due classificati come critici.

I due critici vanno letti con attenzione, per come si incastrano tra loro.

[CVE-2026-27012](https://analytics.dugganusa.com/api/v1/dredd/kev-gap?cve=CVE-2026-27012) è un'elevazione di privilegi senza autenticazione. Un attaccante richiama direttamente modules/utenti/actions.php e modifica a piacere il gruppo di qualsiasi utente: può promuovere un account esistente in Amministratori, oppure declassare chiunque. Nessuna credenziale. Versione 2.9.8 e precedenti.

[CVE-2025-69212](https://analytics.dugganusa.com/api/v1/dredd/kev-gap?cve=CVE-2025-69212) è una command injection nella decodifica dei file P7M. Si carica uno ZIP contenente un file .p7m con un nome malevolo, e vengono eseguiti comandi arbitrari sul server. Il P7M è il formato firmato con cui viaggiano le fatture elettroniche italiane. L'attacco arriva con l'aspetto di un normalissimo documento di lavoro.

La catena è la parte che conta

Letti insieme, questi due avvisi producono una conclusione scomoda.

La CVE-2025-69212 è documentata come "richiede un attaccante autenticato". Lo stesso vale per il caricamento arbitrario di file, CVE-2026-38751. Sulla carta è una barriera reale: servono credenziali valide.

Solo che la CVE-2026-27012 distribuisce diritti di amministratore senza alcuna credenziale.

Quando un bug non autenticato dello stesso prodotto è in grado di concedere l'accesso amministrativo, ogni avvertenza "attaccante autenticato" altrove in quel prodotto smette di essere una mitigazione. Diventa una nota sull'ordine delle operazioni. I punteggi di gravità sono stati assegnati CVE per CVE, isolatamente, e presi uno alla volta sono difendibili — ma nessuno attacca una CVE. Si attacca una macchina, e quella macchina le ha entrambe.

E se la catena sembra troppo lavoro, esiste una scorciatoia. [CVE-2026-29782](https://analytics.dugganusa.com/api/v1/dredd/kev-gap?cve=CVE-2026-29782): oauth2.php è un endpoint non autenticato che imposta esplicitamente $skip_permissions = true, carica un record dal database usando il parametro state controllato dall'attaccante e chiama unserialize() sul token salvato senza alcuna restrizione di classe. Una richiesta. Nessun login. Esecuzione di codice remoto. Questa è corretta nella versione 2.10.2.

L'amplificatore che nessuno aveva previsto

Esistono 32 repository pubblici con codice di exploit per queste CVE. Uno, aggiornato oggi, è completamente automatico: si autentica, installa una web shell PHP tramite un P7M costruito ad arte dentro uno ZIP, e restituisce all'operatore l'esecuzione di comandi o una reverse shell.

Ma la cosa che cambia davvero il rischio non è il codice di exploit. È che la [CVE-2025-69212](https://analytics.dugganusa.com/api/v1/dredd/kev-gap?cve=CVE-2025-69212) è stata inserita in una macchina HackTheBox di questa stagione.

Significa che migliaia di persone hanno esercitato questo specifico exploit come esercizio valutato, con tanto di guida, imparando il mestiere. La capacità di attaccare queste 741 installazioni è stata distribuita in massa sotto forma di formazione — cosa legittima e utile per il settore, e che allo stesso tempo porta praticamente a zero la competenza necessaria per attaccare il server delle fatture di un idraulico.

Cosa fare, se questo riguarda voi

Se usate OpenSTAManager: aggiornate alla versione 2.10.2 o successiva, oggi. Questo chiude la via dell'esecuzione di codice senza autenticazione.

Poi chiedetevi se quella macchina debba davvero essere raggiungibile da internet. Per la stragrande maggioranza di queste 741, la risposta onesta è che è stata esposta per comodità e non per necessità: una VPN, o semplicemente limitare l'accesso a pochi indirizzi IP, elimina quasi tutto questo rischio senza toccare il gestionale.

Infine cercate le tracce: file PHP inattesi nella cartella del sito, account sconosciuti nel gruppo Amministratori, e qualsiasi file .p7m il cui nome contenga caratteri strani da riga di comando invece di un numero di fattura.

A chi sta leggendo e non usa questo software

Se siete un MSP italiano, un commercialista, un consorzio o un'associazione di categoria con associati che usano questo gestionale, siete voi il canale di distribuzione che esiste realmente in questo caso.

Non arriverà nessun avviso della CISA. Non è nel catalogo KEV. Chi usa queste macchine non legge blog di sicurezza in inglese. Se qualcuno deve dirglielo, sarà qualcuno che parla la loro lingua e a cui già rispondono al telefono.

Noi non abbiamo clienti in Italia e non vendiamo nulla a nessuno di loro. Abbiamo pubblicato questo perché avevamo i dati e loro no.

Questo articolo vi è stato utile, o ci è sfuggito qualcosa? Date un voto qui sotto — li leggiamo tutti, e sono i voti bassi quelli che cambiano ciò che costruiamo.

Every indicator in this post is in the feed. Free.

1.58M+ IOCs, STIX 2.1 / TAXII, 88% novel vs ThreatFox, exploited-CVE leads ahead of CISA. No credit card — a free API key in 30 seconds, and you can audit every claim above against the live endpoints.

Get your free key → analytics.dugganusa.com/stix/register

Was this useful? Thirty seconds, no cookies, no tracking, no third parties, your address hashed and never stored. If the box below does not load, the same question lives at https://analytics.dugganusa.com/nps.html?post=741-aziende-italiane-fanno-le-fatture-con-un-gestionale-che-ha-17-avvisi-di-sicurezza-e-un-bypass-am