Non tutte le installazioni VMware sono uguali: cosa rischiano le aziende con versioni senza aggiornamenti attivi

C’è una convinzione diffusa, soprattutto tra le aziende che usano VMware da molti anni: “finché funziona, va bene così”.

L’infrastruttura gira, i server fanno il loro lavoro, e finché non si rompe nulla sembra non esserci ragione di toccare niente.

È una logica comprensibile, ma quando si parla di virtualizzazione, e in particolare di versioni che non ricevono più aggiornamenti, nasconde un rischio che molte PMI sottovalutano.

In questo articolo proviamo a chiarire, con tono pratico e senza allarmismi, perché un’installazione VMware “che funziona” non è automaticamente un’installazione sicura, e perché la differenza la fa una cosa spesso ignorata: la presenza o meno di aggiornamenti di sicurezza attivi.

“Funziona” o “è sicura” non sono la stessa cosa

Un’infrastruttura virtuale può continuare a funzionare perfettamente per anni anche senza ricevere un solo aggiornamento. Le macchine virtuali restano accese, gli applicativi rispondono, gli utenti lavorano.

Dal punto di vista operativo, tutto sembra a posto. Ed è proprio questa apparente normalità a creare il falso senso di sicurezza.

Il punto è che la sicurezza informatica non si misura da quanto bene gira un sistema oggi, ma da quanto è protetto contro ciò che potrebbe colpirlo domani.

Gli aggiornamenti di sicurezza – le cosiddette patch – servono esattamente a questo: chiudere le falle che vengono scoperte nel tempo.

Un sistema che non le riceve più non diventa pericoloso da un giorno all’altro: lo diventa progressivamente, man mano che emergono nuove vulnerabilità che nessuno andrà a correggere.

Perché una versione non aggiornata è un bersaglio

Le vulnerabilità non spariscono con il tempo: si accumulano. Ogni nuova falla scoperta in una versione che non riceve più correzioni resta lì, aperta, a disposizione di chi la voglia sfruttare.

E al contrario di quanto si potrebbe pensare, gli attacchi non prendono di mira solo le tecnologie più recenti: una quota molto rilevante degli attacchi reali sfrutta vulnerabilità note già da anni, proprio perché contano sul fatto che molte aziende non le hanno mai chiuse.

Nel caso specifico della virtualizzazione, la posta in gioco è particolarmente alta. L’hypervisor – lo strato su cui girano tutte le macchine virtuali – è il cuore dell’infrastruttura.

Alcune delle vulnerabilità hypervisor più gravi emerse negli ultimi tempi consentono, in teoria, di “uscire” da una singola macchina virtuale e raggiungere il sistema che la ospita.

Tradotto: la compromissione di un singolo hypervisor può mettere a rischio, in un colpo solo, tutte le macchine virtuali che vi girano sopra. Non è un problema isolato a un server: è un problema potenzialmente sistemico.

Il nodo del supporto: cosa è cambiato

A rendere il tema più attuale che mai è ciò che è successo al modello di supporto VMware dopo l’acquisizione da parte di Broadcom.

Senza entrare nei tecnicismi, il punto che interessa alle aziende è questo: la possibilità di ricevere aggiornamenti di sicurezza è diventata strettamente legata allo stato del contratto di supporto.

Chi si trova con con VMware senza supporto attivo può ritrovarsi, di fatto, con un accesso limitato o ritardato agli aggiornamenti, proprio nel momento in cui servirebbero di più. Ne avevamo già parlato quando abbiamo raccontato cosa è cambiato nel modello di licenze VMware dopo l’acquisizione di Broadcom.

Questo cambia la natura del problema. Un tempo “avere VMware” significava, implicitamente, poter contare sugli aggiornamenti.

Oggi non è più automatico: dipende dalla versione in uso e dalle condizioni contrattuali. Molte aziende non sono nemmeno consapevoli di quale sia la propria situazione, ed è il primo punto da chiarire.

Ma attenzione: non tutti i casi sono uguali

Qui arriviamo al punto che dà il titolo a questo articolo, ed è il più importante da capire: non tutte le installazioni non aggiornate comportano lo stesso livello di rischio. Sarebbe sbagliato, e poco onesto, dire a ogni azienda “se non sei aggiornato sei in pericolo”. La realtà è più sfumata.

Il livello di rischio reale dipende da diversi fattori: quanto l’ambiente è esposto verso l’esterno, come è segmentata la rete, quali contromisure di sicurezza sono già in atto, quanto è critico ciò che gira su quei server.

Un’infrastruttura datata ma ben isolata, monitorata e protetta da misure compensative può essere, paradossalmente, più sicura di una recente ma gestita male.

Il rischio non è una questione di “aggiornato sì / aggiornato no”: è una questione di valutazione complessiva.

Ed è esattamente questo il lavoro che, nella nostra esperienza con le aziende del territorio, fa la differenza: non spaventare, ma misurare.

Capire dove si è davvero esposti e dove invece il rischio è gestibile con gli strumenti giusti. È una valutazione che richiede competenza, ma è ciò che trasforma una preoccupazione vaga in decisioni concrete e proporzionate.

Cosa può fare un’azienda, concretamente

Se la tua azienda usa VMware e non hai certezza dello stato dei suoi aggiornamenti, non serve allarmarsi: serve fare chiarezza. I primi passi sono semplici e non impegnativi:

• Verificare lo stato reale dell’ambiente: quale versione è in uso, se riceve ancora aggiornamenti di sicurezza e qual è la situazione del supporto.
• Valutare l’esposizione: capire quanto l’infrastruttura è raggiungibile dall’esterno e quali sistemi critici dipendono da essa.
• Mettere in fila le contromisure già presenti: segmentazione di rete, controlli di accesso, monitoraggio, backup. Spesso si è più protetti di quanto si creda — o meno, ed è bene saperlo.
• Decidere con dati alla mano: solo dopo questa fotografia ha senso ragionare se restare, aggiornare o valutare alternative. Se la strada che emerge è quella di una migrazione, vale la pena partire da quali sono i rischi da valutare prima di qualsiasi decisione di questo tipo.

In sintesi

Un’installazione VMware che “funziona” non è necessariamente un’installazione sicura, e le versioni che non ricevono più aggiornamenti di sicurezza rappresentano una superficie di rischio che cresce nel tempo.

Ma il rischio non è uguale per tutti: dipende da come l’ambiente è configurato, esposto e protetto.

La cosa peggiore è restare nell’incertezza, senza sapere a che punto si è. Magari senza nemmeno essere consapevoli di come sono aumentati i costi e cambiate le condizioni di VMware negli ultimi mesi.

Noi di Alctech aiutiamo le aziende del territorio a fare esattamente questa fotografia: capire dove si è davvero esposti e cosa conviene fare, in modo proporzionato e senza allarmismi. Vuoi sapere qual è lo stato di sicurezza reale della tua infrastruttura virtuale? Partiamo da un’analisi del tuo ambiente.

Non sai se la tua infrastruttura VMware è ancora protetta?

Alctech ti aiuta a verificarne lo stato di sicurezza reale. Compila il form qui sotto per essere ricontattato.

Domande frequenti