Le criticità riguardano controlli di accesso, protezione degli archivi clinici e autenticità degli aggiornamenti. Nei percorsi interessati possono consentire letture o modifiche non autorizzate dei dati o l'esecuzione di aggiornamenti alterati. Applicabilità ed effetti variano secondo prodotto, componente e prerequisiti del singolo percorso.
La divulgazione coordinata con l'Agenzia per la Cybersicurezza Nazionale (ACN)
ApoCert ha segnalato la ricerca all'Agenzia il 13 luglio 2026, tramite CSIRT Italia, avviando il percorso CVD (divulgazione coordinata delle vulnerabilità). La parte della ricerca per il momento divulgabile è nell'avviso ACN del 4 novembre 2026, AL02/261104/CSIRT-ITA.
Tra le criticità AIS già pubblicate rientrano i controlli di identità e di accesso ai servizi CGM: la CVE-2026-118460 riguarda il legame tra applicazione e identità del medico; la CVE-2026-118461 le richieste di lettura e aggiornamento dei dati per-medico del client AIS PersonaleService. Le operazioni possibili dipendevano anche dai controlli dei servizi destinatari.
Il fornitore ha dichiarato risolte le criticità pubblicate. Questa sintesi descrive la ricerca originaria. Restano da controllare gli aggiornamenti effettivi e la protezione di password, archivi e copie precedenti alle correzioni.
Di quali problemi si tratta
Per il momento sono pubblicate 11 CVE, identificativi pubblici che raggruppano aspetti associati a 26 codici distinti dei report. Alcuni codici ricorrono in più CVE: le ricorrenze non vanno sommate. I collegamenti portano alle schede tecniche dell'Osservatorio ApoCert.
Scorri la tabella in orizzontale per leggere tutte le colonne.
| Area | Rischio | Riferimenti pubblici |
|---|---|---|
| Accesso al programma | Credenziali amministrative fisse nel login di test e recupero password prevedibile. | CVE-2026-118458, CVE-2026-118459 |
| Identità verso i servizi | Chiavi condivise e richieste per conto del medico senza adeguati vincoli di identità. L'esito dipende anche dai controlli sul server. | CVE-2026-118460, CVE-2026-118461 |
| Password, archivi e log | Credenziali incorporate, protezioni reversibili e dati clinici leggibili nei file. | CVE-2026-118464, CVE-2026-118465, CVE-2026-118467 |
| Aggiornamenti e documenti | Contenuti alterati o documenti XML elaborati senza restrizioni sufficienti. | CVE-2026-118462, CVE-2026-118468 |
| Permessi e componenti locali | Ruoli modificabili negli archivi e componenti del programma sostituibili. | CVE-2026-118795, CVE-2026-118450 |
Il login di test riguarda Phronesis e Venere; i ruoli locali Infantia, Profim e Venere; il caricamento dei componenti è specifico di Venere. Condividere una libreria non rende identici tutti i comportamenti dei prodotti.
Come possono incidere sullo studio
Accesso al programma e recupero delle password
Il normale accesso dovrebbe riconoscere il professionista e attribuirgli soltanto le funzioni autorizzate. Per Phronesis e Venere, la ricerca ha documentato il riconoscimento di un'identità amministrativa nel componente di login di test. Nei quattro prodotti erano inoltre presenti percorsi prevedibili di recupero password, che potevano sostituire il controllo della credenziale legittima alle condizioni descritte nelle rispettive schede.
Il riconoscimento di un'identità da parte del componente non dimostra, da solo, l'accesso a tutte le cartelle cliniche. Le funzioni e i dati raggiungibili dipendono dai ruoli assegnati e dai controlli successivi. La verifica deve comprendere anche recupero password e percorsi alternativi: la sola scelta di una password personale più robusta non elimina un difetto di quel meccanismo.
L'identità del medico nei servizi collegati
Quando il gestionale comunica con un servizio esterno, il servizio deve verificare sia quale applicazione lo sta contattando sia per conto di quale medico possa operare. La ricerca ha individuato materiale di autenticazione condiviso, distribuito nel programma, e richieste nelle quali l'identificativo del medico era scelto dal chiamante.
Riconoscere il programma non basta a dimostrare il diritto di rappresentare un determinato professionista. Se il servizio avesse accettato quelle richieste senza controlli ulteriori, avrebbe potuto rilasciare una sessione per un'identità diversa o consentire operazioni sui dati per-medico. La portata dipendeva dai controlli del server e dai permessi effettivi; l'analisi del solo client non dimostra che ogni richiesta sarebbe stata accettata.
Password e archivi accessibili al di fuori dell'interfaccia
Alcuni segreti erano incorporati nei componenti distribuiti; altri valori erano protetti con trasformazioni reversibili. Chi avesse avuto i file necessari avrebbe potuto ricostruire credenziali o informazioni che apparivano illeggibili. Le credenziali comuni dei database potevano inoltre ridurre la separazione tra le diverse installazioni.
Il rischio riguarda anche copie degli archivi, backup e cartelle condivise. Il fatto che il gestionale richieda una password all'avvio non dimostra, da solo, che una copia dei suoi dati sia protetta allo stesso modo. Occorre verificare i permessi sui file e le protezioni effettivamente applicate al loro contenuto.
Aggiornamenti e documenti ricevuti dal programma
Un aggiornamento viene eseguito sulla postazione e deve quindi essere riconosciuto come autentico prima dell'installazione. Nei percorsi analizzati i controlli non offrivano una verifica adeguata dell'origine dei contenuti: chi fosse riuscito a sostituire un pacchetto effettivamente ricevuto dal client avrebbe potuto far eseguire codice alterato, nelle condizioni documentate.
Un'altra criticità riguardava la lettura di alcuni documenti XML, un formato usato per scambiare dati. I componenti potevano seguire riferimenti esterni presenti nel documento e accedere a file o risorse di rete. Un documento alterato poteva quindi provocare operazioni ulteriori rispetto alla semplice lettura dei dati, secondo i permessi del programma e le risorse raggiungibili.
Ruoli e componenti locali
In alcuni prodotti i permessi dell'utente erano affidati a dati locali modificabili; in Venere erano inoltre presenti componenti caricati dal programma che potevano essere sostituiti nelle condizioni descritte dalla ricerca. Chi avesse avuto la possibilità di modificare quei dati o quei file avrebbe potuto influenzare privilegi o comportamento dell'applicazione. Questi controlli richiedono quindi di valutare anche chi può scrivere nelle cartelle e negli archivi utilizzati dal gestionale.
Quali versioni indica ACN
Scorri la tabella in orizzontale per leggere tutte le colonne.
| Prodotto | Versioni indicate come affette |
|---|---|
| Infantia | 6.09.1 e precedenti |
| Profim | 6.09.1 e precedenti |
| Phronesis | 4.51.0.1 e precedenti |
| Venere | 8.33.2 e precedenti |
Confronta questi dati con le versioni delle componenti e degli strumenti di aggiornamento, oltre al numero mostrato dal gestionale.
I dati possono essere esposti anche nei file
Che cosa è documentato nei percorsi di log e telemetria
L'analisi dei componenti distribuiti ha ricostruito quali dati il codice predispone per la scrittura nei file o per l'invio. La CVE-2026-118467 distingue i percorsi dei prodotti:
Scorri la tabella in orizzontale per leggere tutte le colonne.
| Prodotto | Riscontro nel codice analizzato |
|---|---|
| Venere | Anagrafiche, dati del medico, prescrizioni e certificati INPS/INAIL passati al logging XML di VenSerializer. |
| Phronesis | Persistenza di identificativi nei registri JSON e percorsi per referti e documenti temporanei; pseudonimizzazione degli identificativi del medico nella telemetria. |
| Infantia/Profim | Eventi KPI con farmaci o esami e identificativi del paziente e del medico, percorsi di logging locale e pseudonimizzazione debole. |
Sono evidenze sui percorsi del software, non prove di una divulgazione già avvenuta di dati di pazienti reali. Per accertare il contenuto effettivamente prodotto in uno studio occorre esaminarne i file e le condizioni operative. Le copie già conservate possono continuare a richiedere protezione anche dopo la correzione del programma.
Quali informazioni potrebbero essere coinvolte negli archivi clinici
Un eventuale accesso non autorizzato a un archivio può coinvolgere le informazioni che vi sono effettivamente presenti. Le categorie descritte dai report, secondo prodotto e archivio, comprendono:
- Anagrafiche dei pazienti: nominativi, codici fiscali e altri dati identificativi.
- Cartelle cliniche: anamnesi, diagnosi, patologie croniche, allergie, visite, terapie e prescrizioni, secondo il prodotto e l'archivio.
- Dati pediatrici in Infantia: vaccinazioni, bilanci di salute, curve di crescita e anamnesi neonatale, associati a pazienti minorenni.
- Documenti sanitari: ricette, certificati INPS/INAIL e referti, compresi documenti temporanei nei percorsi analizzati.
Questo elenco descrive un impatto potenziale sugli archivi, non dati tutti osservati nei log o recuperati da cartelle di pazienti reali. Per il percorso delle credenziali incorporate dei database, servono l'accesso ai file o al servizio interessato, l'accettazione delle credenziali e i permessi necessari. La lettura di un log non equivale all'accesso a tutta la cartella clinica.
I log testuali, XML e JSON si aprono con Blocco note. Password e token utilizzabili devono essere esclusi; per i dati personali vanno giustificati necessità, accessi e conservazione, secondo le indicazioni OWASP. Un identificativo trasformato con un hash non è automaticamente anonimo, soprattutto se il dato di partenza è prevedibile.
Verifica la posizione del tuo studio
La valutazione GDPR riguarda tutte le criticità che possono incidere sui dati: accessi, ruoli, archivi, copie, servizi esterni e aggiornamenti, oltre ai log. Contano riservatezza, correttezza delle cartelle e disponibilità per il lavoro clinico.
Per i trattamenti di cui è titolare, la struttura deve valutare i rischi, adottare misure adeguate e documentarne l'efficacia. Affidarsi a un fornitore non elimina questi compiti né gli obblighi propri del fornitore: è il principio di responsabilizzazione richiamato dal Garante.
Misure inadeguate o dati raccolti senza necessità possono violare il GDPR anche senza un attacco dimostrato. Una CVE non prova automaticamente un data breach nello studio: incidenti e obblighi di notifica richiedono l'esame dei fatti.
Come avviare la verifica nello studio
I seguenti controlli sono suggerimenti ApoCert, da adattare allo studio con una persona competente, interna oppure indipendente dal produttore. Il Garante richiama la verifica periodica dell'efficacia delle misure.
- Registra versioni e interventi per ogni postazione e componente.
- Esamina log e copie storiche, distinguendoli dalle registrazioni prodotte dopo l'aggiornamento.
- Controlla chi può leggere o modificare gli archivi, inclusi account di servizio, cartelle condivise, backup e accessi remoti.
- Cambia le password esposte o recuperabili, anche sugli altri account dove sono state riutilizzate. Fai valutare separatamente revoca o sostituzione di chiavi e credenziali applicative: cambiare una password personale non le sostituisce.
- Documenta esiti, limiti e interventi, confrontando le informazioni del fornitore con le evidenze dei sistemi. Coinvolgi il referente IT e il consulente privacy o DPO, se nominato.
File e percorsi da cui partire
Ricava la cartella del programma dal collegamento di avvio. I percorsi seguenti sono documentati nella ricerca; la destinazione effettiva va verificata nell'installazione.
Scorri la tabella in orizzontale per leggere tutte le colonne.
| Area | File o percorso | Controllo |
|---|---|---|
| Venere | Cartella Log, file Log_{Title}_{ticks}.xml; installazione predefinita descritta: C:\venere | File relativi a GetPaziente, GetMedico, RegistraPrescrizione, GetCertificatoINPS, GetCertificatoINAIL: cerca dati reali leggibili. |
| Phronesis | %USERPROFILE%\.Phronesis\mir.log | Cerca password e SAC, distinguendo valori reali da campi oscurati o vuoti. |
| Phronesis, temporanei | %ProgramData%\CGM\MedicalDevices, %USERPROFILE%\.Phronesis\tempdir, %TEMP%\Referto.pdf | Identificativi JSON, documenti conservati e permessi. L'assenza di un temporaneo non prova che non venga prodotto. |
| Infantia/Profim | Log AIS, in particolare del plugin HELIOS: percorso da ricavare dalla configurazione | Cerca Invio evento KPI, TaxCode, PazienteCodiceFiscaleHash, Drugs. Non è documentata una cartella unica. |
| Componenti condivise | cgm.it.AIS.Common.dll, cgm.it.AIS.Common.Security.dll, cgm.Net.Clients.dll, cgm.it.AIS.Connector.dll | Versioni, hash e confronto con le componenti corrette. La rimozione di segreti richiede analisi dei binari. |
| Archivi | Venere: Mir.mdb, Agg_Utenti.mdb; Phronesis: PROFB000.mdb; Infantia/Profim: ProfB002.mdb o ProfB003.mdb | Permessi e protezione degli account, su copie. Non sono file da aprire o modificare con Blocco note. |
| Aggiornamenti | cgm.it.LiveUpdates.dll, cgm.Files.Delivery.dll ed eseguibili effettivamente usati | Controllo di autenticità prima dell'esecuzione; la firma o l'hash di un singolo file non verificano l'intero processo. |
Le variabili %USERPROFILE%, %ProgramData% e %TEMP% si possono incollare in Esplora file: indicano profilo utente, dati condivisi e cartella temporanea. Considera tutti i profili pertinenti.
Per i file testuali lavora su copie protette, con Apri con → Blocco note e Ctrl+F, chiudendo senza salvare. Non caricare credenziali o dati dei pazienti in chat AI o servizi non autorizzati: la divulgazione può configurare un data breach. Non trovare una parola non dimostra la correzione: autenticazione, parser e chiavi incorporate richiedono controlli specifici. Le prove sui servizi esterni necessitano di autorizzazione che li comprenda.
Come può aiutarti ApoCert
La conoscenza diretta dei componenti AIS permette di impostare una verifica indipendente dal produttore, tenendo conto delle differenze tra prodotti. Possiamo esaminare versioni, accessi e dati conservati e definire un piano con evidenze, priorità e controllo degli esiti, insieme alla documentazione privacy pertinente.
L'advisory è liberamente consultabile; l'eventuale consulenza in sicurezza e privacy viene concordata separatamente.
Le criticità AIS pubblicate finora
I codici rimandano ai report originari e coprono solo gli aspetti divulgati, non l'intera ricerca. Le parentesi distinguono gli aspetti dello stesso codice inclusi in CVE diverse.
Credenziali amministrative fisse nel login di testCVE-2026-118458
- F-PH-03, Credenziali amministrative incorporate nel login .NET.
- F-VEN-01, Bypass dell'autenticazione AIS (login di test).
- F-INF-01: Bypass dell'autenticazione (componente di test condivisa).
La CVE riguarda Phronesis e Venere. F-INF-01 documenta la componente comune nel report Infantia/Profim, senza estendere il login di test a tutti i prodotti.
Recupero password prevedibileCVE-2026-118459
- F-INF-01: Bypass dell'autenticazione (recupero password).
- F-PH-04, PasswordSOS e componenti di test in produzione (recupero password).
- F-VEN-01, Bypass dell'autenticazione AIS (recupero password).
Chiavi incorporate e rischio di impersonificazione del medicoCVE-2026-118460
Materiale di firma condiviso e identità del medico indicata nella richiesta di token. L'impersonificazione richiedeva che il servizio accettasse la richiesta senza vincolare medico e soggetto autorizzato.
- F-INF-02: Identità del medico nelle richieste di token ai servizi CGM (chiavi e attestazioni).
- F-PH-05, Identità del medico nelle richieste di token ai servizi CGM.
- F-VEN-04, Identità del medico nelle richieste di token ai servizi CGM.
Letture e scritture nel client AIS PersonaleServiceCVE-2026-118461
Il client non aggiungeva autenticazione applicativa alle richieste per i dati del medico. L'accesso dipendeva dall'accettazione e dai controlli sul server: il solo comportamento del client non ne dimostra l'esito.
- F-INF-02: Richieste del client condiviso PersonaleService sui dati per-medico.
- F-PH-06, Controlli di accesso nelle richieste del client AIS PersonaleService verso i servizi CGM.
- F-VEN-07, Autenticazione delle richieste per-medico verso i servizi CGM.
Aggiornamenti senza verifica adeguata dell'autenticitàCVE-2026-118462
- F-INF-04: Aggiornamento scaricato ed eseguito senza verifica di firma.
- F-PH-01, Catena di aggiornamento non autenticata con esecuzione di codice.
- F-VEN-05, Catena di aggiornamento: esecuzione di codice non autenticata.
Crittografia debole e chiavi incorporateCVE-2026-118464
- F-INF-05: Crittografia deterministica e reversibile con chiavi incorporate.
- F-PH-08, Crittografia strutturalmente debole e chiavi incorporate.
- F-VEN-03, Crittografia con chiavi incorporate e trasformazioni reversibili.
Credenziali comuni per i database cliniciCVE-2026-118465
- F-INF-06: Credenziali dei database clinici incorporate.
- F-PH-08, Crittografia debole e chiavi incorporate (credenziali dei database).
- F-VEN-02, Credenziali dei database condivise e incorporate.
Dati personali e clinici nei log e nella telemetriaCVE-2026-118467
- F-INF-13: Dati personali e prescrittivi nei log e nei flussi di telemetria.
- F-PH-07, Credenziali dei sistemi prescrittivi nazionali esposte (log).
- F-PH-13, Dati personali in file in chiaro e telemetria.
- F-VEN-13, Identificativi e dati personali in telemetria e log.
Elaborazione non sicura dei documenti XMLCVE-2026-118468
Riferimenti esterni nei documenti potevano indurre letture locali o richieste di rete, secondo permessi del programma e raggiungibilità delle risorse.
- F-INF-04: Catena di aggiornamento non protetta (elaborazione XML).
- F-PH-12, Riferimenti esterni non sicuri nelle risposte XML.
- F-VEN-16, Parsing non sicuro dei documenti XML (riferimenti esterni).
Permessi modificabili nei database localiCVE-2026-118795
- F-INF-12: Autorizzazione affidata al client e ai dati locali (ruoli e permessi).
- F-VEN-11, Autorizzazione affidata al client (ruoli e permessi).
Componenti sostituibili in VenereCVE-2026-118450
- F-VEN-12, Assenza di firma e possibilità di sostituire componenti caricati dal programma.
Fonti e aggiornamenti
La sintesi si basa sui report originari ApoCert su Infantia/Profim, Phronesis e Venere, limitatamente alle voci pubblicate. Le schede tecniche collegate descrivono componenti, condizioni di applicabilità e correzioni dichiarate. Per il GDPR: principi del trattamento e misure di sicurezza, Garante Privacy.
Per segnalare inesattezze o documentare correzioni, contatta ApoCert indicando il passaggio e gli elementi verificabili.
