Cyberpediadi Brain
ITDEENESFR

Attacchi a canale laterale

Spectre e Meltdown: come un codice malevolo legge segreti attraverso il processore, senza mostrare nulla sullo schermo, e come proteggersi.

In 30 secondi

Dove accade
Su un computer, uno smartphone o un server il cui processore è interessato, non appena vi viene eseguito codice estraneo (JavaScript, pubblicità malevola, phishing)1.
Cosa vuole l'attaccante
Leggere memoria non destinata a lui, quindi sequenze di tasti digitate, password o chiavi di cifratura1.
Il riflesso
Installare gli aggiornamenti di sicurezza il prima possibile, e solo dalle fonti ufficiali dei produttori2.
Se è già fatto
Applicare comunque gli aggiornamenti successivi, perché alcune prime correzioni erano parziali2.

Di cosa si tratta

Un attacco a canale laterale osserva un effetto collaterale del calcolo, per esempio il tempo che una lettura in memoria impiega a completarsi, e ne deduce un'informazione che l'attaccante non ha il diritto di leggere.

Spectre e Meltdown, rese pubbliche il 4 gennaio 20182, ne sono due esempi. Riguardano il processore stesso. Spectre interessa quasi tutti i dispositivi1, mentre Meltdown non interessa AMD2. Sullo schermo del dipendente non compare nulla: il suo compito è tenere aggiornati i propri dispositivi e installare gli aggiornamenti di sicurezza solo da fonti ufficiali2.

Domande dirette

Vedrei qualcosa se fossi preso di mira?

No, le fonti citate qui non descrivono alcun segnale visibile sullo schermo. Un antivirus classico si basa sulle firme e può non rilevare queste vulnerabilità1. Il CERT-FR ha tuttavia pubblicato regole Yara per individuare i binari legati a una libreria pubblica di dimostrazione di Meltdown, il che riguarda i team di sicurezza, non i dipendenti2.

Bisogna cliccare su qualcosa per essere attaccati?

L'attaccante deve prima riuscire a far eseguire del codice sulla macchina. La CISA cita JavaScript malevolo, pubblicità malevola e phishing come modi per riuscirci1.

Quali dispositivi sono interessati?

Spectre interessa quasi tutti i dispositivi: computer fissi e portatili, server nel cloud e smartphone1. I ricercatori parlano di processori Intel, AMD e ARM usati in miliardi di dispositivi3. Secondo il CERT-FR, AMD è vulnerabile a Spectre ma non a Meltdown2.

Basta un aggiornamento?

Non sempre. Per Spectre, la CISA indica che il difetto si trova nell'architettura del processore e non in un software, che è difficile da correggere, ma più difficile da sfruttare1. Gli autori dell'articolo di ricerca ritengono che soluzioni solide richiederanno di modificare la progettazione dei processori3.

1Nei panni dell'attaccante1 min

L'attaccante vuole i dati che un altro programma conserva in memoria. Su una postazione di lavoro, si tratta della memoria del sistema operativo, che secondo la CISA contiene sequenze di tasti digitate, password e chiavi di cifratura1.

Il punto di partenza è un codice che riesce a far girare: JavaScript malevolo, pubblicità malevola o phishing1. Una volta che questo codice è in esecuzione, spiega il CERT-FR, Meltdown consente di accedere alla memoria del sistema operativo da un programma utente2. La CISA aggiunge che un attaccante potrebbe anche elevare i propri privilegi per sfruttare queste falle1.

L'impatto è più grave dove le risorse sono condivise. Il CERT-FR osserva che da un container (Docker, LXC) potrebbe essere possibile accedere ai dati della macchina fisica che lo ospita2.

2Cosa si vede sullo schermo1 min

Nulla di particolare. Le fonti citate qui non descrivono alcun messaggio né rallentamento come segnale d'allarme. L'unico effetto visibile è sul lato della difesa: dopo la correzione, le prestazioni possono variare a seconda dell'uso, e la CISA chiede agli amministratori di monitorarle sulle applicazioni critiche1.

Esiste invece una trappola legata all'argomento, ed è visibile: i falsi aggiornamenti (vedere più sotto).

3Sotto il cofanoTeam IT1 min

I processori moderni cercano di essere veloci. Il CERT-FR descrive due tecniche. Nell'esecuzione detta out-of-order, le istruzioni vengono eseguite in base alla disponibilità delle risorse di calcolo e non più in modo strettamente sequenziale2. Nell'esecuzione speculativa, il processore formula ipotesi su risultati non ancora disponibili e prosegue il lavoro; se l'ipotesi è sbagliata, gli effetti vengono annullati2.

Meltdown sfrutta una debolezza della prima: un'istruzione può essere eseguita senza che il livello di privilegio richiesto venga verificato correttamente. Il suo risultato non viene poi convalidato, ma l'informazione può essere recuperata tramite un canale nascosto2.

Spectre sfrutta la seconda. Gli effetti sulla cache di un'esecuzione speculativa errata permangono, e misurando i tempi di accesso ad alcune aree di memoria si conosce lo stato della cache. L'attaccante ne deduce i risultati intermedi dell'esecuzione errata2. Gli autori dell'articolo di ricerca lo descrivono come indurre la vittima a eseguire in modo speculativo operazioni che normalmente non avrebbero luogo e le cui informazioni trapelano attraverso un canale laterale3.

Tre identificativi designano le falle iniziali: CVE-2017-5753 e CVE-2017-5715 per Spectre, CVE-2017-5754 per Meltdown2.

4AutopsieCasi reali1 min

3 e 4 gennaio 2018: la rivelazione

La CISA indica di essere venuta a conoscenza di Meltdown e Spectre il 3 gennaio 20181. L'articolo di ricerca su Spectre viene depositato lo stesso giorno3. Il CERT-FR data al 4 gennaio 2018 la pubblicazione delle due vulnerabilità2, e pubblica lo stesso giorno un avviso sui prodotti VMware: ESXi, Workstation e Fusion sono interessati finché gli aggiornamenti non sono installati4.

Un falso aggiornamento a nome della BSI

Il CERT-FR rileva una campagna di spam che approfitta della situazione. Alcuni attaccanti, spacciandosi per la BSI, l'equivalente tedesco dell'ANSSI, invitano i destinatari a visitare una copia del suo sito. L'allerta vi è modificata: l'utente è invitato a installare un aggiornamento che in realtà è un software malevolo2. Il CERT-FR ricorda di installare gli aggiornamenti solo dalle fonti ufficiali dei produttori2.

Aprile 2018: «Total Meltdown»

Secondo la CISA, gli utenti di Windows 7 a 64 bit o Windows Server 2008 R2 a 64 bit su processore Intel, che avevano installato l'aggiornamento di gennaio o febbraio 2018, dovevano installare subito l'ultimo aggiornamento. Secondo il ricercatore Ulf Frisk, gli aggiornamenti precedenti contenevano una falla che permetteva di leggere e scrivere nella memoria del kernel1. Ha l'identificativo CVE-2018-10381.

Maggio 2018: nuove varianti

Il 21 maggio 2018 vengono pubblicate due nuove vulnerabilità basate su principi simili, CVE-2018-3639 e CVE-2018-36402.

5Cosa fare1 min
  • Installi gli aggiornamenti del sistema e del browser. Per il firmware di Intel, il CERT-FR raccomanda una maggiore prudenza, fino ad attendere la versione finale, e di testare gli aggiornamenti in ambienti controllati prima di distribuirli2.
  • Installi solo software di cui si fida. Scarichi aggiornamenti e firmware direttamente dal sito del produttore1.
  • Se la sua postazione è gestita dall'azienda, lasci che sia il servizio informatico a condurre gli aggiornamenti. Il NCSC raccomanda una politica di aggiornamento predefinita, con applicazione delle correzioni il prima possibile e idealmente in modo automatico5.
  • Non dia seguito a un'email che chiede di installare un «aggiornamento»: passi dalle fonti ufficiali2.
6Le trappole1 min

La prima trappola è credere che l'antivirus protegga. La CISA invita a verificare con il produttore dell'antivirus la compatibilità con gli aggiornamenti1. Secondo il CERT-FR, gli aggiornamenti di Microsoft dipendono dagli antivirus installati2.

Un'altra trappola: fidarsi di un primo aggiornamento. Diversi produttori avevano pubblicato solo correzioni parziali2, e il caso «Total Meltdown» mostra che un aggiornamento può a sua volta contenere una falla1.

Infine, anche il ritardo negli aggiornamenti degli aggiornamenti è un problema: il NCSC precisa che decidere di non aggiornare è una decisione di rischio a livello della direzione5.

Scheda

Identificativo
CP-087
Ala
1. Attacchi e tecniche
Competenza Brain
Proteggere i dispositivi (secure_devices)
Riflesso Brain
cr-054
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
5 fonti verificate il 3 novembre 2026
Fonti5 fonti
  1. CISA, «Meltdown and Spectre Side-Channel Vulnerability Guidance», 4 gennaio 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (consultato il 3 novembre 2026)
  2. CERT-FR (ANSSI), «Multiples vulnérabilités de fuite d'informations dans des processeurs», 4 gennaio 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (consultato il 3 novembre 2026)
  3. arXiv, «Spectre Attacks: Exploiting Speculative Execution», 3 gennaio 2018. https://arxiv.org/abs/1801.01203 (consultato il 3 novembre 2026)
  4. CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits VMware», 4 gennaio 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (consultato il 3 novembre 2026)
  5. NCSC (Royaume-Uni), «Vulnerability management guidance». https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Attacchi a canale laterale», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/

BibTeX 
@misc{brain_cp087_it_2026,
  author = {Brain},
  title = {Attacchi a canale laterale},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0