Aggiornamenti di sicurezza RutOS: 9 CVE corrette, arriva l'IPsec post-quantum

Un aggiornamento di sicurezza RutOS non è una fastidiosa formalità, bensì una delle leve più efficaci a disposizione di chi è responsabile della security: router mobili e gateway stanno al margine estremo della rete — direttamente su Internet, spesso in sedi senza personale IT e non di rado con accesso diretto a impianti industriali. Con i release 7.24 (8 luglio 2026), 7.24.1 (20 luglio 2026) e 7.24.2 (13 agosto 2026) Teltonika ha pubblicato nel giro di poche settimane una fitta sequenza di update che, dal punto di vista della sicurezza, muove parecchio.

Questo contributo adotta deliberatamente la prospettiva della sicurezza: quali CVE sono state corrette, quali componenti di sistema aggiornate — e cosa c'è dietro lo scambio di chiavi post-quantum per IPsec? Una panoramica funzionale completa di tutti e tre i release la trovate nel contributo della serie RutOS 7.24, 7.24.1 e 7.24.2 in panoramica, le basi le spiega Che cos'è RutOS?. Altri contributi sul marchio li raccogliamo nella categoria blog Teltonika.

Un router compromesso raramente è l'obiettivo finale degli attaccanti — è la testa di ponte. Chi prende il controllo del gateway al margine della rete può intercettare o deviare il traffico dati, abusare dei tunnel VPN e da lì avanzare verso i sistemi interni. Tre caratteristiche rendono il firmware dei router un bersaglio strutturalmente attraente:

• Posizione esposta: router e gateway sono per definizione raggiungibili da reti non fidate — nell'impiego su rete mobile spesso senza uno strato di protezione a monte.
• Lunghi cicli di vita: i dispositivi industriali restano in esercizio per anni, a volte decenni. Senza un processo di update curato, il ritardo rispetto allo stato di sicurezza attuale cresce mese dopo mese.
• Poca visibilità: i dispositivi stanno in quadri elettrici, veicoli e sedi esterne — dove nessun amministratore passa regolarmente e nessun agent endpoint è in esecuzione.

A ciò si aggiunge: chi lavora in settori regolamentati deve documentare sempre più i processi di patch e saperli motivare di fronte agli auditor. Un produttore che espone le vulnerabilità in modo trasparente nel changelog e rilascia patch a cicli brevi fornisce la base necessaria a questo scopo. Teltonika documenta i propri release pubblicamente sulle pagine firmware del wiki del produttore — incluse le liste CVE con i livelli di severità. Che questa manutenzione sia continua lo mostra uno sguardo al passato: già per RutOS 7.07 avevamo riferito in questa sede di miglioramenti a funzioni e servizi.

Il feature release RutOS 7.24 dell'8 luglio 2026 chiude nove CVE, di cui quattro con severità alta (score ≥ 7,0). L'elenco completo (dati secondo il changelog Teltonika):

• CVE-2026-31431 — score 7,8 (HIGH)
• CVE-2026-5720 — score 7,1 (HIGH)
• CVE-2026-40385 — score 7,1 (HIGH)
• CVE-2026-40386 — score 7,1 (HIGH)
• CVE-2026-0990 — score 5,9 (MEDIUM)
• CVE-2025-14282 — score 5,4 (MEDIUM)
• CVE-2026-0989 — score 3,7 (LOW)
• CVE-2026-4519 — score 3,3 (LOW)
• CVE-2026-0992 — score 2,9 (LOW)

L'elenco è documentato in modo identico sulle pagine changelog di RUTX50 e RUT956. Riportiamo i livelli di severità così come Teltonika li pubblica — non abbiamo effettuato una verifica incrociata con l'NVD. Quattro vulnerabilità con uno score pari o superiore a 7,1 in un singolo release sono un segnale chiaro: le flotte che girano ancora su versioni firmware più vecchie dovrebbero dare priorità all'update — indipendentemente dal fatto che le nuove funzioni del release servano o meno.

La fonte di riferimento per la vostra valutazione sono le sezioni changelog della rispettiva pagina del dispositivo nel wiki Teltonika, ad esempio la pagina RUTX50 Firmware Downloads. Tenete presente che Teltonika mantiene i changelog per famiglia di dispositivi — verificate quindi la pagina del vostro modello specifico.

Oltre alle patch CVE, la 7.24 aggiorna componenti di sistema rilevanti per la sicurezza e fa ordine in più punti (tutti i dati secondo il changelog del RUTX50):

• dropbear 2025.89: il server SSH viene portato a una versione attuale — per i dispositivi amministrati da remoto una delle singole componenti più importanti.
• SQLite 3.50.4: il database embedded viene aggiornato.
• Impostazioni crittografiche aggiornate: le crypto proposal predefinite per IPsec e DMVPN sono state riviste.
• Gestione centralizzata dei certificati: i certificati del MQTT Modbus Gateway e di Modbus Over IP migrano nel gestore certificati globale — meno archivi sparsi, miglior controllo sulle scadenze.
• Export dei dati cifrato: Data to Server supporta ora SFTP e FTPS come canali di uscita, per SFTP incluso lo strict host key checking. I dati di telemetria e di misura lasciano così il dispositivo in forma cifrata.

Anche tra le correzioni si trovano voci rilevanti per la sicurezza: le one-time password 2FA vengono correttamente invalidate dopo l'autenticazione riuscita, il client NTP verifica che i pacchetti in arrivo abbiano una dimensione minima di 48 byte e la validazione IEEE 802.11r per le modalità di cifratura non supportate è stata corretta.

Il release intermedio 7.24.1 del 20 luglio 2026 è invece principalmente un update di qualità e stabilità — tra l'altro con iperf e stress-ng nel Package Manager e la manutenzione del database APN. Il changelog del RUTX50 non riporta una sezione CVE dedicata per la 7.24.1. Il release è comunque importante: al 28 agosto 2026 la 7.24.1 è il firmware classificato da Teltonika come "Stable" — su questo torniamo subito.

Con il release di manutenzione 7.24.2 del 13 agosto 2026 Teltonika stringe ulteriormente la vite della sicurezza. La voce più appariscente: scambio di chiavi post-quantum ML-KEM per IPsec, realizzato tramite l'aggiornamento di strongSwan alla versione 6.0.7.

Perché la crittografia post-quantum sia già oggi rilevante si riassume in una parola chiave: "harvest now, decrypt later". Gli attaccanti possono registrare già ora il traffico cifrato per decifrarlo in seguito, non appena saranno disponibili computer quantistici sufficientemente potenti. Uno scambio di chiavi resistente ai quanti come ML-KEM affronta esattamente questo scenario — quanto più longevi sono i dati trasmessi, tanto prima conviene il passaggio. Che questa tecnologia arrivi ora sui router industriali è degno di nota: le VPN site-to-site tra sedi esterne e sede centrale sono tra le connessioni che spesso restano invariate per anni.

Inoltre la 7.24.2 rafforza nettamente l'autenticazione locale:

• Lockout PAM degli account: dopo ripetuti tentativi falliti l'account locale viene bloccato — un freno efficace contro gli attacchi brute force.
• Cronologia delle password: la password policy può ora impedire il riutilizzo di password precedenti.
• Autenticazione NTP: ntpd supporta sorgenti di tempo autenticate — rilevante perché un orario di sistema manipolato può minare le verifiche dei certificati e la forensics dei log.
• Limiti di connessione nel firewall: il firewall supporta ora limiti per le connessioni per porta.

Anche la base crittografica e di protocollo viene aggiornata: OpenSSL 3.5.7, freeradius3 3.2.8, wireless-regdb 2026.05.30 e open62541 (OPC UA) 1.4.18. A ciò si aggiungono due ulteriori fix CVE — CVE-2026-16455 (score 6,9, MEDIUM) e CVE-2026-18368 (score 5,0, MEDIUM) — nonché un bugfix rilevante per la sicurezza: il server SSH prima non era in ascolto sugli indirizzi IPv6 (dati secondo il changelog Teltonika).

Al di là della security, la 7.24.2 porta tra l'altro OSPFv3 per il routing dinamico su IPv6 e la creazione automatica di server DHCPv6 per le interfacce WAN — i dettagli sono nel contributo panoramico sulla serie 7.24.

Teltonika adotta un modello di release a due livelli che dovreste sfruttare per la vostra strategia di patch. Il release Stable è il firmware consolidato dal QA interno e da ampi deployment sul campo — attualmente è la 7.24.1. Il release Latest — attualmente la 7.24.2 — ha superato i test interni ma, secondo Teltonika, "non ha ancora alle spalle una distribuzione ampia né una validazione da parte degli utenti" e può "contenere problemi non ancora scoperti"; il produttore raccomanda espressamente di testarlo "prima su un numero ridotto di dispositivi" (tradotto in modo fedele al senso dalla pagina firmware del RUTX50).

Ne deriva per i gestori di flotte un approccio chiaro:

1. Inventariare: quali famiglie di dispositivi e versioni firmware sono sul campo? Senza un inventario aggiornato non c'è prioritizzazione solida.
2. Consolidare la flotta sulla 7.24.1: così vi trovate sul tier Stable — una versione che, come point release, si basa sul feature release 7.24 con le sue patch CVE.
3. Pilotare la 7.24.2: un gruppo pilota piccolo e rappresentativo — preferibilmente dove girano tunnel IPsec con dati longevi e ML-KEM porta il valore aggiunto maggiore.
4. Distribuire in modo centralizzato: per le flotte distribuite si raccomanda il rollout tramite il Remote Management System (RMS) di Teltonika invece di accessi manuali ai singoli dispositivi.

Due limitazioni da mettere in conto (al 28 agosto 2026, secondo il wiki Teltonika): per la famiglia RUT9xx (tra gli altri RUT951, RUT956) finora è elencata solo la 7.24 — la 7.24.1 e la 7.24.2 non sono ancora disponibili lì. E gli access point TAP (TAP100/200/400) mancano nell'elenco dei dispositivi della 7.24.2. Se e quando queste famiglie riceveranno i point release non è documentato; fa fede la pagina Product Firmware Updates nel wiki Teltonika.

Consiglio pratico: definite in anticipo il periodo pilota — ad esempio due settimane con criteri di interruzione chiari — e osservate in modo mirato la stabilità delle VPN e il comportamento di autenticazione, cioè esattamente le aree su cui interviene la 7.24.2. Solo dopo segue il rollout su larga scala.

Ascend distribuisce Teltonika e fornisce hardware e licenze RMS da un unico fornitore — dalla scelta dei dispositivi tramite la panoramica dei router Teltonika fino all'approvvigionamento delle licenze per il patch management centralizzato.

La serie 7.24 mostra uno schema che i responsabili della security vedono volentieri: un feature release che chiude nove CVE (di cui quattro HIGH, dati secondo il changelog Teltonika), un update di stabilità che poco dopo matura a firmware Stable e un release di manutenzione che rafforza in modo mirato con IPsec post-quantum ML-KEM, lockout PAM degli account, cronologia delle password e autenticazione NTP. Chi consolida la propria flotta Teltonika sulla 7.24.1 e pilota in modo strutturato la 7.24.2 riduce la superficie d'attacco — e sul tema crittografia post-quantum imposta la rotta per tempo.

Parlate con noi: se vi serve supporto nella valutazione degli update, nella scelta dei dispositivi o per le licenze RMS per il patch management centralizzato, siamo a vostra disposizione. Ascend distribuisce Teltonika — router e gateway disponibili li trovate sulla pagina del marchio Teltonika nello shop Ascend, una panoramica del mondo prodotti sulla nostra pagina dei router Teltonika.

Questo articolo è stato ricercato e redatto con il supporto dell'IA e verificato da Ascend prima della pubblicazione.