--- id: CP-181 slug: autopsia-equifax-struts lang: it title: Autopsia Equifax 2017 description: "La falla Apache Struts di marzo 2017 (CVE-2017-5638): come un server esposto con un componente obsoleto può essere violato e cosa fa un dipendente." canonical_url: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ markdown_url: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Autopsia Equifax 2017», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-031 schema: G4 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ en: https://startbrain.io/cyberpedia/en/articles/equifax-breach-struts-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/equifax-struts-analyse/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ nl: https://startbrain.io/cyberpedia/nl/articles/equifax-struts-autopsie/ sources: - "n": 1 title: Vulnérabilité dans Apache Struts publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ published: "2017-03-10" accessed: "2026-11-03" - "n": 2 title: Exploit Public-Facing Application publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1190/ accessed: "2026-11-03" - "n": 3 title: "Server Software Component: Web Shell" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1505/003/ accessed: "2026-11-03" - "n": 4 title: Exfiltration Over C2 Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1041/ accessed: "2026-11-03" - "n": 5 title: "[MaJ] Vulnérabilité dans Apache Log4j" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ published: "2021-12-10" accessed: "2026-11-03" - "n": 6 title: Mitigating Log4Shell and Other Log4j-Related Vulnerabilities publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a accessed: "2026-11-03" - "n": 7 title: Vulnerability management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management published: "2024-02-12" accessed: "2026-11-03" --- # Autopsia Equifax 2017 Un server web aperto su Internet e un software che non ha ricevuto l'aggiornamento: questa situazione espone una rete a un'intrusione. La scheda segue la falla Apache Struts CVE-2017-5638, resa pubblica nel marzo 2017 [1], e la confronta con un caso più recente, Log4Shell. Una precisazione sulle fonti: il dossier di riferimenti di questa scheda descrive la falla, il suo sfruttamento e le buone pratiche, ma non documenta il dettaglio dell'intrusione presso Equifax (durata, volume di dati, monitoraggio). Questi elementi non sono quindi ripresi qui. ## In 30 secondi - Dove accade: su un server o un'applicazione raggiungibile da Internet, per esempio un sito web, con un componente non aggiornato. - Cosa vuole l'attaccante: eseguire comandi da remoto, poi mantenere l'accesso e portare fuori dati. - Il riflesso: Il riflesso: segnalare senza attendere al servizio informatico qualsiasi comportamento anomalo di un sito o di uno strumento aziendale, senza cercare di diagnosticarlo da soli. - Se è già successo: avvisare il team di sicurezza, che deciderà se isolare l'applicazione interessata. ## Domande dirette ### Qual era la falla di marzo 2017? Una vulnerabilità di Apache Struts permetteva a un attaccante di provocare l'esecuzione di codice arbitrario da remoto [1]. Erano interessate le versioni 2.3.x precedenti alla 2.3.32 e 2.5.x precedenti alla 2.5.10.1 [1]. Apache ha pubblicato il bollettino S2-045 il 6 marzo 2017 per fornire una correzione [1]. ### Bisognava essere esperti per sfruttarla? No. Il CERT-FR indicava «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» e raccomandava di distribuire la correzione il più rapidamente possibile [1]. La falla era sfruttata attivamente dalla pubblicazione del bollettino [1]. ### Un dipendente può fare qualcosa? Non installa le correzioni, ma a volte vede il primo segnale: una pagina che risponde male, uno strumento che si comporta in modo diverso. L'NCSC britannico parte dal principio che gli aggiornamenti siano un controllo «business as usual» [7]. ### Cosa fare di un'applicazione vulnerabile che contiene dati sensibili? Il CERT-FR riteneva che andasse disattivata finché l'aggiornamento non fosse applicato: scriveva che era «fortement conseillé» [1]. ## Nei panni dell'attaccante L'attaccante cerca una porta d'ingresso già aperta. MITRE descrive questa tecnica: sfruttare una debolezza di un sistema esposto a Internet per ottenere un primo accesso a una rete. La debolezza può essere un difetto del software, un guasto passeggero o un errore di configurazione [2]. Le applicazioni sfruttate sono spesso siti e server web [2]. Per la falla Struts, il CERT-FR parla di un «faible niveau de technicité» necessario allo sfruttamento [1]. Le fonti non descrivono il formato esatto dell'attacco e questa scheda non lo inventa. Poi si installa. MITRE descrive la web shell: uno script collocato su un server web accessibile, che fa da passaggio verso la rete e può offrire funzioni di esecuzione o una riga di comando sulla macchina che ospita il server [3]. L'obiettivo è un accesso duraturo (tattica «Persistence» in MITRE) [3]. Infine porta fuori i dati. MITRE descrive un'esfiltrazione attraverso il canale di comando e controllo già stabilito: i dati rubati sono codificati nel normale flusso di comunicazione, con lo stesso protocollo [4]. ## Cosa si vede sullo schermo Lo schermo può non mostrare nulla di anomalo. Vale la pena segnalare allora i piccoli dettagli: lentezza insolita, pagina modificata, servizio che si riavvia senza motivo, avviso di uno strumento di sicurezza. Questi segnali da soli non provano nulla. Il dipendente non deve stabilire cosa sia successo: descrive ciò che ha visto (ora, applicazione, comportamento) e lascia concludere al team di sicurezza. ## Sotto il cofano Il meccanismo si riassume in quattro fasi, ciascuna sostenuta dalle fonti. - La falla: un difetto in un componente (qui Struts) che la correzione di Apache risolve [1]. - L'ingresso: lo sfruttamento di un'applicazione esposta a Internet, che consente l'esecuzione di codice da remoto [1][2]. - L'installazione: una web shell o un altro accesso duraturo [3]. - L'uscita: i dati lasciano la rete attraverso il canale di comando e controllo [4]. Sul versante della difesa, MITRE elenca misure contro lo sfruttamento di un'applicazione esposta. Aggiornare regolarmente i software esposti. Analizzare regolarmente i sistemi esposti e prevedere procedure di correzione rapida quando viene scoperta una falla critica. Segmentare i server esposti dal resto della rete. Limitare il traffico in uscita dei server pubblici: questo non impedisce lo sfruttamento iniziale, ma all'attaccante riesce più difficile controllare in seguito il server compromesso [2]. L'NCSC ricorda un punto di fondo: tutti i sistemi contengono vulnerabilità, e una gestione efficace permette di sapere quali sono presenti e dove gli aggiornamenti falliscono [7]. ## Autopsie ### Apache Struts, marzo 2017 Il 6 marzo 2017 Apache pubblica il bollettino S2-045 [1]. Il 10 marzo 2017 il CERT-FR diffonde il suo allarme, che indica che la falla è sfruttata attivamente dalla pubblicazione [1]. L'allarme è chiuso il 10 maggio 2017 [1]. Alla data del suo allarme, quattro giorni dopo il bollettino, il CERT-FR constata dunque lo sfruttamento attivo della falla [1]. ### Log4Shell, dicembre 2021 Il CERT-FR pubblica il suo primo allarme su Log4j il 10 dicembre 2021 [5]. La libreria è usata molto spesso nei progetti Java e dai produttori di software già pronto all'uso [5]. Un attaccante può provocare l'esecuzione di codice da remoto senza essere autenticato, per esempio tramite una pagina di accesso che registra gli errori [5]. Secondo informazioni pubbliche riprese dall'avviso congiunto della CISA e dei suoi partner, lo sfruttamento di Log4Shell è iniziato il 1° dicembre 2021 o intorno a tale data, ed esiste un codice di sfruttamento pubblico [6]. L'FBI ha osservato tentativi di sfruttamento e scansioni di massa volti a installare software di mining di criptovalute e di botnet [6]. L'avviso chiede innanzitutto di identificare le risorse interessate: censire tutti gli asset che usano la libreria Log4j, cloud compreso [6]. ## Fonti 1. CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 marzo 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultato il 3 novembre 2026) 5. CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 dicembre 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultato il 3 novembre 2026) 6. CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultato il 3 novembre 2026) 7. NCSC (Royaume-Uni), «Vulnerability management», 12 febbraio 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.