La criticità DB-1 riguarda il servizio che sincronizza i dati con i gestionali dello studio. Nelle condizioni documentate, consentiva di impartire comandi al database senza un'autenticazione applicativa affidabile, con possibili letture, modifiche o indisponibilità dei dati secondo i permessi della connessione.
La divulgazione coordinata con l'Agenzia per la Cybersicurezza Nazionale (ACN)
ApoCert ha segnalato DB-1 all'Agenzia il 24 giugno 2026, tramite CSIRT Italia, avviando il percorso CVD (divulgazione coordinata delle vulnerabilità). Il problema è pubblicato come CVE-2026-112172 nell'Osservatorio ApoCert e nell'avviso ACN del 4 novembre 2026, AL02/261104/CSIRT-ITA.
Il fornitore ha dichiarato risolta la vulnerabilità. La ricerca originaria e le ricognizioni sull'esposizione delle installazioni, riportate sotto, sono verifiche distinte.
Numerose installazioni con indizi di esposizione su Internet
Le ricognizioni ApoCert hanno individuato numerose installazioni associate a XDent/XMedical con indizi di possibile esposizione dei servizi database su Internet. Fai verificare con priorità la tua installazione e i servizi collegati.
Questo riscontro non prova che i dati siano leggibili senza autenticazione, che DB-1 sia ancora sfruttabile o che siano avvenuti accessi abusivi. Gli indirizzi delle installazioni non vengono pubblicati.
Il problema nella sincronizzazione
La sincronizzazione consente ai programmi e ai servizi collegati di scambiare e aggiornare i dati dello studio. Il servizio che riceve le richieste deve riconoscere il chiamante e verificare quali operazioni abbia diritto di eseguire su ciascun archivio.
Nel codice analizzato, un componente permetteva al richiedente di influenzare il valore utilizzato per considerarlo autenticato. Altre funzioni ricevevano istruzioni per il database, l'archivio organizzato dei dati, e ne richiedevano l'esecuzione. La combinazione poteva consentire a un soggetto non autenticato di impartire operazioni che avrebbero dovuto essere riservate a un utente autorizzato.
Il problema non si esauriva quindi nella possibilità di vedere una pagina: le istruzioni venivano eseguite usando la connessione al database del servizio. Le operazioni disponibili dipendevano dai privilegi di quella connessione. Se comprendevano scrittura o cancellazione, il rischio poteva riguardare anche la modifica dei dati e la disponibilità degli archivi, oltre alla loro lettura.
Perché va controllato anche il servizio web
Il percorso descritto passava dal servizio web e dalla sua connessione al database. Un archivio può essere protetto dalle connessioni dirette da Internet e restare comunque raggiungibile attraverso un'applicazione autorizzata a usarlo. Le restrizioni di rete e i controlli sulle richieste dell'applicazione devono quindi essere valutati insieme.
Per sfruttare DB-1 occorreva poter raggiungere il servizio con le funzioni vulnerabili disponibili. L'accesso a più archivi, la modifica dei dati o la loro cancellazione dipendevano dai permessi effettivi. Le ricognizioni richiamate nel riquadro giallo riguardano invece gli indizi di esposizione delle installazioni: da sole non dimostrano che quel percorso sia ancora utilizzabile.
ACN indica XDent e XMedical 4.4.0 come versioni affette. Non estendiamo il risultato a ogni versione o studio: occorre accertare quali servizi siano realmente utilizzati e quali interventi abbiano ricevuto. Il numero di versione del programma locale non verifica la correzione di un servizio centralizzato.
Quali informazioni possono essere coinvolte
Il report e la scheda tecnica della vulnerabilità descrivono archivi che comprendono informazioni su più aspetti della vita dello studio:
- Identità dei pazienti: anagrafiche e dati che consentono di collegare le informazioni cliniche a una persona.
- Cartelle e storia clinica: anamnesi, allergie, note e diari clinici, esami e referti.
- Cure e attività odontoiatrica: prestazioni, piani di trattamento e documentazione relativa ai singoli elementi dentali.
- Documentazione sanitaria e amministrativa: consensi informati, riferimenti a fotografie e immagini cliniche, fatturazione e configurazioni dello studio.
Un accesso non autorizzato ai campi leggibili potrebbe rivelare quali condizioni di salute siano annotate e quali cure riceva un paziente identificabile. Modifiche indebite potrebbero inoltre rendere meno affidabili le informazioni utilizzate nel lavoro clinico o interrompere la sincronizzazione.
La portata concreta dipende dai dati raggiungibili e dalle loro protezioni. Per i campi cifrati conta anche la disponibilità dei mezzi per decifrarli. Per immagini e allegati, la ricerca documenta riferimenti negli archivi: la possibilità di acquisire anche il contenuto del file va accertata separatamente, secondo posizione, permessi e percorso di accesso. Queste categorie non sono una prova che siano già stati sottratti dati di pazienti.
Verifica la posizione della tua struttura
La sicurezza dello studio comprende i servizi esterni che trattano i suoi dati. La valutazione GDPR deve ricostruire informazioni sincronizzate, archivi, accessi, possibilità di modifica e misure di ripristino: riguarda riservatezza, integrità e disponibilità, non soltanto i log.
Per i trattamenti di cui è titolare, la struttura deve valutare i rischi, adottare misure adeguate e documentarne l'efficacia. Affidarsi a un fornitore non elimina questi compiti né gli obblighi propri del fornitore: è il principio di responsabilizzazione richiamato dal Garante.
Controlli inadeguati possono violare il GDPR anche senza un attacco dimostrato. La CVE non prova automaticamente un data breach nello studio: incidenti e obblighi di notifica dipendono dai fatti accertati.
Le verifiche che consigliamo allo studio
I seguenti controlli sono suggerimenti ApoCert, da adattare allo studio con una persona competente, interna oppure indipendente dal produttore. Il Garante richiama la verifica periodica dell'efficacia delle misure.
- Identifica la sincronizzazione utilizzata: servizi, dati scambiati, archivi esterni e soggetti che li gestiscono.
- Verifica l'esposizione della tua installazione, compresi i servizi database collegati, entro un perimetro autorizzato.
- Raccogli evidenze delle correzioni sul servizio, confrontandole con configurazioni locali e documentazione. Distingui le misure verificate da quelle soltanto dichiarate.
- Valuta il periodo precedente alla correzione: informazioni disponibili sugli accessi, dati coinvolti e punti ancora non accertabili.
- Documenta interventi, responsabili ed esiti, coinvolgendo il referente IT e il consulente privacy o DPO, se nominato.
Quali evidenze cercare sul servizio
Per DB-1 non esiste un singolo file locale la cui lettura dimostri la correzione. Le evidenze utili riguardano la configurazione di sincronizzazione effettivamente utilizzata, la componente server coinvolta e gli interventi applicati su quel servizio.
Una verifica tecnica deve accertare che il servizio riconosca correttamente il chiamante, rifiuti richieste prive di autorizzazione e limiti ogni operazione agli archivi consentiti. L'indirizzo del server o una comunicazione generale sull'aggiornamento aiutano a orientare il controllo, ma non ne dimostrano l'esito. È su questi elementi che consigliamo di confrontare la documentazione disponibile e i riscontri della propria installazione.
L'autorizzazione a controllare i computer dello studio non comprende automaticamente i server del produttore. Le prove sui servizi esterni richiedono un'autorizzazione specifica; eventuali modifiche alla sincronizzazione vanno pianificate per evitare perdite di dati o interruzioni.
Come può aiutarti ApoCert
La conoscenza diretta della vulnerabilità permette di impostare una verifica indipendente dal produttore: ricostruire il percorso dei dati, valutare le evidenze delle correzioni e definire gli approfondimenti autorizzati. Il risultato è un piano con priorità, responsabili e punti da chiarire, insieme alla documentazione privacy pertinente.
L'advisory è liberamente consultabile; l'eventuale consulenza in sicurezza e privacy viene concordata separatamente.
Fonti e aggiornamenti
La scheda tecnica collegata documenta DB-1, Esecuzione di comandi SQL senza autenticazione nell'infrastruttura di sincronizzazione XDent/XMedical, unica criticità trattata qui, e lo stato della correzione dichiarata. Le ricognizioni sull'esposizione non sono un nuovo test di DB-1. Per il GDPR: principi del trattamento e misure di sicurezza, Garante Privacy.
Per segnalare inesattezze o documentare correzioni, contatta ApoCert indicando il passaggio e gli elementi verificabili.
