NAS, Plex e inoltro delle porte: i servizi esposti su Internet da verificare in ufficio

Il 3 novembre 2026 l'Ufficio federale della cibersicurezza (UFCS) ha dedicato la sua rassegna settimanale alle reti domestiche diventate porta d'accesso per i cibercriminali. All'UFCS sono stati segnalati diversi casi di malware su reti private: il punto d'ingresso è la combinazione di dispositivi raggiungibili da Internet e vulnerabilità non corrette. Se poi viene installato un ransomware, foto e documenti possono andare persi.

L'UFCS parla di reti domestiche, ma la stessa configurazione si trova in molti piccoli uffici, studi e negozi: un router fornito dall'operatore, un NAS per i documenti condivisi, qualche telecamera e un accesso da remoto aperto anni fa per comodità. Vale anche per le reti di casa di chi lavora da remoto.

Cosa segnala l'UFCS

Oggi la maggior parte degli operatori fornisce il router in modalità «router»: i dispositivi interni stanno in una rete privata e non sono raggiungibili direttamente da Internet. Per usare un servizio da fuori, per esempio il NAS o una telecamera, molti attivano però l'inoltro delle porte (port forwarding, o NAT): un singolo servizio interno viene reso visibile all'esterno. Se quel servizio ha una vulnerabilità non corretta, diventa un bersaglio.

L'UFCS cita due esempi attuali. Il primo è PHP, per cui aveva già emesso un'allerta il 21 ottobre: PHP gira spesso anche dietro le interfacce di NAS e altri dispositivi, senza che sia evidente. Ne abbiamo parlato nel nostro articolo sulle vulnerabilità PHP. Il secondo è il media server Plex: secondo l'UFCS chi non lo ha aggiornato rischia che il dispositivo venga preso completamente sotto controllo, e le segnalazioni ricevute mostrano che il pericolo è concreto.

Una volta dentro, gli aggressori possono, secondo l'UFCS, installare un ransomware a scopo di estorsione, rubare dati e ricattare la vittima, usare la potenza di calcolo per minare criptovalute oppure usare la connessione come «proxy residenziale», cioè far passare il traffico di estranei attraverso la linea Internet della vittima.

Il caso Plex

Plex ha pubblicato il 19 ottobre 2026 un aggiornamento del suo avviso di sicurezza con quattro vulnerabilità (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656). Combinate tra loro, permettono a un aggressore remoto non autenticato di eseguire codice con i privilegi del processo Plex Media Server. Secondo Plex le falle sono sfruttate attivamente e su larga scala dopo la pubblicazione di una prova di concetto il 16 ottobre; i server compromessi sono stati usati per minare criptovalute e come proxy. Il 20 ottobre la CISA statunitense le ha inserite nel suo catalogo delle vulnerabilità sfruttate.

Le versioni corrette sono Plex Media Server 1.43.3.10861 e successive. Conta il numero di build completo: una 1.43.3 con un numero più basso non è corretta. Il numero si legge in Plex Web, in Impostazioni, Generale. Plex avverte che un server più vecchio di questa versione e raggiungibile da Internet va considerato potenzialmente compromesso. In questo caso l'aggiornamento non basta: Plex raccomanda di reinstallare il server da zero invece di riutilizzare la vecchia cartella dati, di disconnettere tutti i dispositivi dall'account, di cambiare la password e di considerare esposto tutto ciò che il servizio poteva raggiungere, come cartelle condivise montate e credenziali salvate sulla stessa macchina. Se l'accesso remoto non serve, va disattivato.

Cosa verificare in ufficio

1. Sapere cosa è esposto. Nel router, controllare l'elenco degli inoltri di porte e delle regole create automaticamente (UPnP). Ogni voce deve avere un responsabile e un motivo; quelle non più necessarie vanno chiuse.
2. Aggiornare tutto, non solo i PC. Firmware del router, sistema e app del NAS, telecamere, domotica e servizi come Plex. Sui NAS conviene verificare che gli aggiornamenti automatici siano attivi e funzionino davvero: Plex segnala che nei gestori di pacchetti dei NAS la versione nuova può arrivare in ritardo.
3. Usare una VPN invece dell'inoltro delle porte. L'UFCS raccomanda in particolare una VPN (per esempio IPsec, OpenVPN o WireGuard): l'accesso è autenticato e cifrato e i servizi non sono esposti direttamente. Dove possibile, VPN e servizi esposti vanno protetti con un secondo fattore; le differenze tra i metodi sono spiegate nel nostro articolo sui cinque livelli dell'UFCS.
4. Password robuste. Per i servizi esposti l'UFCS raccomanda password di almeno 12 caratteri, con maiuscole, minuscole, cifre e caratteri speciali, e il blocco dopo un numero massimo di tentativi falliti, se il prodotto lo consente.
5. Separare le reti. I servizi visibili dall'esterno non dovrebbero stare nello stesso segmento di rete dei PC e del NAS con i dati aziendali. Molti router offrono una «DMZ» o una rete separata; anche telecamere e domotica stanno meglio in una rete a parte.
6. Limitare da dove si accede. Valutare se l'accesso deve essere possibile da tutta Internet. Alcuni router permettono di limitarlo a determinati Paesi (geofencing).
7. Avere un backup separato. Se il NAS è l'unico posto in cui stanno i dati, un ransomware sul NAS li colpisce tutti. Serve almeno una copia non raggiungibile dalla rete, verificata con un ripristino di prova.

Per chi gestisce anche server web e applicazioni, il quadro delle altre falle sfruttate nelle ultime settimane è nel nostro riepilogo di fine ottobre.

Come riconoscere un dispositivo infetto

Secondo l'UFCS non è sempre facile accorgersene: spesso chi è colpito se ne rende conto solo quando riceve il ricatto. Un possibile segnale è un rallentamento del dispositivo, spesso con una ventola insolitamente rumorosa o sempre in funzione, perché i programmi di mining consumano molta potenza di calcolo. Nel peggiore dei casi il dispositivo va reinstallato e conviene far controllare anche gli altri apparecchi della stessa rete da un tecnico.

Obblighi: nLPD e segnalazioni

Se sul NAS o sul server compromesso c'erano dati personali di clienti o collaboratori, si tratta verosimilmente di una violazione della sicurezza dei dati. La legge federale sulla protezione dei dati chiede misure di sicurezza adeguate (art. 8 nLPD) e, se la violazione comporta verosimilmente un rischio elevato per le persone interessate, la notifica il prima possibile all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) tramite il suo portale di notifica, oltre all'informazione delle persone interessate se necessario per la loro protezione (art. 24 nLPD).

L'obbligo di segnalare un ciberattacco all'UFCS entro 24 ore vale per i gestori di infrastrutture critiche. Le altre aziende possono segnalare volontariamente con il modulo di segnalazione dell'UFCS. In caso di ricatto o danno finanziario conviene sporgere denuncia; su Suisse ePolice si trova il posto di polizia più vicino.

Domande frequenti

Il nostro NAS è dietro il router dell'operatore: siamo al sicuro?

Solo se nessun suo servizio è stato reso raggiungibile dall'esterno, né a mano né automaticamente tramite UPnP o le funzioni di accesso remoto del produttore. Vale la pena verificarlo nel router e nelle impostazioni del NAS.

Usiamo Plex solo in ufficio, senza accesso remoto: dobbiamo aggiornare?

Sì. Il rischio maggiore riguarda i server raggiungibili da Internet, ma Plex raccomanda a tutti di passare alla versione 1.43.3.10861 o successiva, e un dispositivo non aggiornato resta un punto debole per tutta la rete.

Abbiamo aggiornato: è sufficiente?

Non sempre. Come ricorda anche l'UFCS, un aggiornamento non elimina una compromissione già avvenuta. Se il servizio era esposto con una versione vulnerabile, occorre verificare segnali di compromissione e, nel dubbio, reinstallare.

Il nostro approccio

ElaraTeq Sagl aiuta PMI e studi in Ticino a fare l'inventario di ciò che è raggiungibile da Internet, a sostituire gli inoltri di porte con accessi VPN protetti e a pianificare aggiornamenti e backup, con hosting in Svizzera e consulenza su misura. Per una verifica della vostra rete potete contattarci.

Fonti

• UFCS, Settimana 44: quando la rete domestica diventa una porta d'accesso per i cibercriminali, 3 novembre 2026
• UFCS, Vulnerabilità critiche in PHP: installate immediatamente gli aggiornamenti di sicurezza, 21 ottobre 2026
• Plex, Important Security Update for Plex Media Server v1.43.2 and earlier, 1° settembre 2026, aggiornato il 19 ottobre 2026
• CISA, CISA Adds Six Known Exploited Vulnerabilities to Catalog, 20 ottobre 2026
• NVD: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
• UFCS, modulo di segnalazione; obbligo di notifica dei ciberattacchi alle infrastrutture critiche
• IFPDT, portale per la notifica di violazioni della sicurezza dei dati
• Fedlex, Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 8 e 24