Software sanitari, Cgm corregge 16 vulnerabilità. Le indicazioni di Acn

CompuGroup Medical Italia (CGM) ha corretto 16 vulnerabilità informatiche individuate in alcuni software utilizzati da studi medici, farmacie e strutture sanitarie. Le criticità sono state documentate il 4 novembre 2026 da CSIRT Italia, struttura operativa dell'Agenzia per la cybersicurezza nazionale (ACN), nell'ambito di una procedura di divulgazione coordinata delle vulnerabilità. L'azienda comunica di aver predisposto gli interventi correttivi e precisa che, dalle analisi effettuate, non sono emerse evidenze di sfruttamento delle vulnerabilità.

L'avviso istituzionale identifica diverse tipologie di criticità, tra cui possibili accessi non autorizzati, acquisizione di informazioni riservate, aumento indebito dei privilegi ed esecuzione di codice arbitrario. Alcune vulnerabilità potrebbero consentire a un attaccante di accedere ai sistemi senza credenziali legittime, modificare informazioni o compromettere le procedure di aggiornamento del software.

Tra le criticità segnalate figurano la presenza di credenziali amministrative incorporate nel codice, controlli insufficienti sull'autenticazione, chiavi crittografiche non adeguatamente protette e informazioni sensibili conservate nei registri applicativi. I punteggi di gravità delle singole vulnerabilità, secondo il sistema CVSS 4.0, raggiungono il valore di 8,1. CSIRT Italia classifica come medio l'impatto sistemico complessivo dell'avviso.

I prodotti interessati sono XDent, versione 4.4.0; XMedical, versione 4.4.0; Wingesfar, nelle versioni precedenti alla 2026.07a; Venere, versione 8.33.2 e precedenti; Phronesis, versione 4.51.0.1 e precedenti; Infantia e Profim, versione 6.09.1 e precedenti.

CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili attraverso i canali di assistenza dedicati concordati con il produttore. CGM precisa che le correzioni vengono distribuite automaticamente alle installazioni interessate. La società riferisce inoltre che l'intervento è stato completato prima della pubblicazione dei dettagli tecnici, in collaborazione con CSIRT Italia.

La procedura è stata condotta secondo il modello di divulgazione coordinata delle vulnerabilità previsto dal decreto legislativo 138/2024, che recepisce la direttiva europea NIS2.

«La divulgazione coordinata funziona quando ciascuno fa la propria parte: chi individua una vulnerabilità la segnala attraverso il canale istituzionale, il CSIRT Italia ne coordina l'analisi, il produttore realizza e distribuisce la soluzione prima che le informazioni diventino pubbliche», afferma Roberto Caramia, capo Divisione di CSIRT Italia.

Le informazioni tecniche, gli identificativi delle vulnerabilità e le versioni coinvolte sono disponibili nell'avviso ufficiale pubblicato da CSIRT Italia il 4 novembre.