Un attacco informatico senza autenticazione ha messo a rischio i backend GeoNetwork di oltre cento geoportali governativi in 39 paesi. Due falle critiche, ora corrette, permettevano l'esecuzione di codice remoto sui server che gestiscono dati geospaziali strategici per enti pubblici e agenzie militari.
Un singolo upload e una richiesta GET: tanto bastava, fino a pochi giorni fa, per prendere il controllo remoto di server GeoNetwork esposti su Internet, molti dei quali gestiscono dati sensibili per governi e agenzie nazionali. La catena di attacco, scoperta dal team di Ethiack e resa pubblica solo dopo la distribuzione delle patch, ha lasciato vulnerabili almeno 121 istanze in 39 paesi, con una netta prevalenza di sistemi legati a enti pubblici, militari e agenzie nazionali.
GeoNetwork, piattaforma open source nata presso la FAO delle Nazioni Unite e oggi mantenuta da OSGeo, è il cuore di molte infrastrutture di dati spaziali in Europa, incluso il backend del portale INSPIRE della Commissione Europea. La sua diffusione nei sistemi pubblici europei rende la sicurezza di GeoNetwork una questione di interesse strategico, soprattutto dopo che la catena di vulnerabilità ha dimostrato quanto sia facile aggirare i controlli di accesso.
Due falle, un'unica porta d'ingresso
Il primo anello debole, identificato come CVE-2026-63219 (CVSS 8.6), riguarda l'assenza totale di controlli di autorizzazione sull'endpoint di upload dei formatter. Un utente anonimo poteva caricare file .xsl o .zip direttamente nella directory dei formatter, ottenendo così accesso in scrittura non autorizzato sul server. Da sola, questa falla già rappresentava un rischio concreto di compromissione.
Ma è la seconda vulnerabilità, CVE-2026-58400 (CVSS 9.1), a trasformare il rischio in minaccia reale: la configurazione insicura del motore Saxon XSLT permetteva ai fogli di stile caricati di eseguire comandi di sistema tramite java.lang.Runtime.exec() o ProcessBuilder, senza alcuna restrizione. Normalmente, questa funzione richiederebbe privilegi elevati, ma la combinazione con la falla di upload elimina ogni barriera: chiunque poteva ottenere esecuzione di codice remoto senza autenticazione.
Impatto concreto e risposta della comunità
Secondo Ethiack, la catena di exploit è attiva almeno dalla versione 4.0.6 di GeoNetwork, quando una refactorizzazione ha eliminato la riga di controllo sull'endpoint incriminato. L'azienda ha rilevato che l'89% delle istanze vulnerabili appartiene a enti pubblici o militari, ma non sono stati segnalati attacchi confermati o compromissioni note al momento della disclosure. Nessuna traccia delle falle compare nel catalogo KEV di CISA, segno che la finestra di rischio è stata chiusa prima di un'ondata di exploit pubblici.
Le patch sono arrivate l'8 luglio 2026 con le versioni 4.4.12 e 4.2.17, ma la pubblicazione dei dettagli tecnici è avvenuta solo il 31 agosto, a distanza di otto settimane. Tutte le release 4.4.x fino alla 4.4.11 e 4.2.x fino alla 4.2.16 restano vulnerabili. Gli amministratori che non possono aggiornare subito sono invitati a bloccare i metodi di scrittura sull'endpoint dei formatter tramite reverse proxy, anche a costo di sacrificare le funzionalità di upload legittime dal pannello admin.
GeoNetwork e la sicurezza della filiera geospaziale
Il caso GeoNetwork si inserisce in una serie di allarmi sulla sicurezza della filiera geospaziale open source. Negli ultimi due anni, GeoServer è stato bersaglio di botnet, cryptominer e backdoor come SideWalk, con vulnerabilità critiche (CVE-2024-36401, CVE-2025-58360) finite anche nel catalogo KEV di CISA. Solo il mese scorso, una SQL injection non autenticata in GeoServer è stata oggetto di attacchi attivi subito dopo la disclosure pubblica.
La lezione è chiara: la sicurezza delle piattaforme open source che alimentano i servizi pubblici europei non può più essere affidata a controlli superficiali o a una fiducia implicita nella community. La rapidità con cui GeoNetwork ha corretto le falle, evitando exploit di massa, è un segnale positivo, ma la dipendenza strutturale da questi software impone una vigilanza costante e investimenti reali in audit e hardening. L'Europa digitale non può permettersi di scoprire troppo tardi che la porta d'ingresso era rimasta aperta per mesi.
