Perché Kiteworks ha chiesto ai clienti di spegnere i server

Kiteworks, società già nota come Accellion e attiva nel trasferimento sicuro di file, ha chiesto ai clienti che gestivano direttamente i propri sistemi di spegnerli temporaneamente. La decisione seguiva informazioni ritenute credibili, ricevute da autorità federali, secondo cui un attore ostile avrebbe potuto prendere di mira alcuni sistemi Kiteworks. L’azienda ha precisato che si trattava di una misura preventiva e che non aveva indicazioni di una compromissione dei propri sistemi o di quelli dei clienti.426

Sei ore o nove? La differenza conta

Le notizie sull’email inviata ai clienti descrivevano una finestra di spegnimento di sei ore intorno al 26 settembre 2026, con l’invito ad anticipare lo spegnimento, se possibile.47 L’avviso pubblico di Kiteworks, però, indicava una finestra precauzionale di nove ore nel fuso orario locale. Non sono due durate da usare come istruzioni intercambiabili: per sapere quale indicazione seguire occorreva fare riferimento alla comunicazione applicabile alla propria installazione.426

Che cosa si sapeva della possibile falla?

L’allerta riguardava un possibile attacco imminente, non un attacco accertato. Alcune ricostruzioni hanno evocato una vulnerabilità zero-day — una falla non ancora corretta o resa pubblica al momento in cui potrebbe essere sfruttata — ma le informazioni disponibili non dimostravano che una simile vulnerabilità fosse stata utilizzata. Al momento delle notizie non erano stati pubblicati un identificativo CVE, ossia il codice con cui si catalogano le vulnerabilità, né dettagli tecnici sulle condizioni di sfruttamento. L’aggressore non era stato identificato pubblicamente e Kiteworks non segnalava indicazioni di compromissione.21726

Quali sistemi riguardava l’avviso?

Lo spegnimento era raccomandato ai clienti che gestivano autonomamente i sistemi Kiteworks, comprese le installazioni nei propri locali e quelle cloud amministrate dal cliente. Delle istanze ospitate e gestite da Kiteworks si sarebbe occupata l’azienda. Secondo le ricostruzioni delle indicazioni fornite, DRACOON, ownCloud e totemo non rientravano nell’avviso.1820

Kiteworks ha inoltre dichiarato che la versione 9.5.1 risolve tutte le vulnerabilità note. Questo non significa che fosse stata confermata una falla zero-day alla base della minaccia, né che la versione 9.5.1 costituisse una correzione specifica per una falla del genere.1626

Il precedente Accellion, senza collegamenti presunti

Un prodotto per il trasferimento di file di Accellion fu sfruttato nella campagna di furto di dati ed estorsione attribuita a Clop nel 2020–2021. Quel precedente aiuta a capire perché un’allerta su sistemi di trasferimento file sia stata presa sul serio, fino a raccomandare uno spegnimento temporaneo. Non è però una prova che Clop fosse coinvolto nella minaccia del settembre 2026, né che l’attacco temuto si sia verificato.226