La sicurezza dei PLC Siemens è tornata d’attualità in queste settimane. A ottobre 2026 sono usciti nuovi avvisi sul web server delle CPU S7-1500 e su una libreria software usata per dialogare con loro, mentre resta valida l’allerta di agosto su attacchi in corso contro i PLC della serie S7. Se hai macchine o impianti con questi controllori, ecco che cosa è successo e che cosa puoi controllare subito, senza fermare la produzione.
L’allerta di agosto sui PLC S7
Il 19 agosto 2026 diverse agenzie statunitensi, tra cui NSA, CISA e FBI, hanno pubblicato l’avviso AA26-231A su una minaccia attiva contro i PLC Siemens S7. Riguarda le famiglie S7-200, S7-300, S7-400, S7-1200 e S7-1500. In breve:
- gli attaccanti cercano in internet i PLC esposti o mal separati dal resto della rete;
- usano script che si presentano come strumenti di monitoraggio per leggere e scrivere dati, configurazioni e logica del programma tramite il protocollo S7comm;
- per ora l’attività descritta è soprattutto di ricognizione, ma prepara possibili azioni che potrebbero fermare o danneggiare la produzione.
L’avviso nomina tra i settori più colpiti il manifatturiero, l’energia, l’acqua e i reflui, il chimico e l’alimentare. E ricorda che il problema riguarda i PLC in generale, non solo quelli Siemens.
Gli avvisi di ottobre
Il web server delle CPU S7-1500
Il 22 ottobre 2026 CISA ha ripubblicato l’avviso Siemens ICSA-26-295-14 sul web server integrato di molte CPU: S7-1500 (comprese le versioni F e T), ET 200SP, ET 200pro, i controller software e S7-PLCSIM Advanced. Le vulnerabilità sono otto, con un punteggio di gravità CVSS v3 di 9,6 su 10.
Il meccanismo: un attaccante convince un utente con il diritto di leggere la diagnostica a importare un file di trace preparato ad arte. A quel punto nel browser dell’utente parte codice dell’attaccante, che può fare sul PLC, attraverso il web server, quello che quell’utente è autorizzato a fare. Al momento dell’avviso non c’è ancora una correzione: Siemens la sta preparando. Nel frattempo indica di:
- disattivare il web server dove non serve;
- limitare l’accesso alle porte 80 e 443 ai soli indirizzi fidati;
- dare l’accesso al web server solo a personale qualificato;
- importare solo file di trace di provenienza sicura.
La libreria .NET per il web server S7
Il 13 ottobre 2026 Siemens ha pubblicato l’avviso SSA-390352 sulla .NET Client Library for SIMATIC S7 Webserver API, una libreria che i programmi su misura in C# possono usare per dialogare con il web server dei PLC. I problemi sono due: un nome di file non controllato che può far scrivere file fuori dalla cartella prevista, e la password di ripristino del PLC che può finire in chiaro nei messaggi di errore e quindi nei log. La correzione c’è: la versione V3.3.62 o successiva risolve entrambi.
Se in azienda hai un software che legge dati dai PLC attraverso il web server, chiedi a chi l’ha scritto se usa questa libreria e in quale versione.
I controlli da fare sulle tue macchine
Le misure indicate nell’avviso AA26-231A sono in gran parte buone pratiche che puoi applicare anche senza aspettare gli aggiornamenti:
- Fai l’inventario: quali PLC hai, con quale firmware, e quali sono raggiungibili da reti non fidate.
- Separa la rete delle macchine da quella degli uffici e blocca la porta TCP 102 (S7comm) sul firewall verso l’esterno.
- Attiva password e livelli di protezione sui PLC, in scrittura e dove serve anche in lettura.
- Spegni quello che non usi: web server, protocolli non necessari, accessi remoti lasciati aperti.
- Proteggi l’accesso remoto alla rete delle macchine con l’autenticazione a più fattori.
- Tieni d’occhio i collegamenti: chi si collega ai PLC con TIA Portal o Step 7, quando e da dove.
- Aggiorna firmware e software di programmazione, provando prima gli aggiornamenti fuori dalla produzione.
L’avviso suggerisce anche di condividere queste indicazioni con chi ti fa assistenza sugli impianti. Molte di queste modifiche toccano la configurazione hardware nel progetto del PLC: vanno fatte con il progetto aggiornato in mano e provate con la macchina in sicurezza.
Che cosa fare adesso
Parti dall’elenco dei PLC e dal progetto più recente di ogni macchina: senza questi non si sa che cosa è acceso e che cosa è esposto. Poi decidi le priorità, cominciando dai controllori raggiungibili dall’esterno.
DIERVSOFT S.R.L. si occupa di programmazione PLC Siemens, Allen-Bradley, Delta e Codesys, con assistenza remota e in campo, e di software su misura collegato alle macchine. Se vuoi rivedere la configurazione dei tuoi PLC, scrivici dalla pagina dei contatti.