Patch di sicurezza sul server: perché non si rimandano

Un server che funziona bene può avere decine di falle note e già sfruttate: le patch di sicurezza non correggono ciò che si vede, chiudono porte che restano aperte finché non si aggiorna. La regola operativa per un ufficio è semplice: aggiornamento programmato ogni mese in una finestra fuori orario, con backup verificato prima, e intervento entro pochi giorni quando il produttore o le autorità segnalano una vulnerabilità già sfruttata in rete. Rimandare non riduce il rischio di fermo: lo sposta da una sera pianificata a un mattino qualsiasi.

Perché un server che funziona può avere falle aperte

Una vulnerabilità è un errore di programmazione che permette a qualcuno di fare sulla macchina qualcosa che non dovrebbe: eseguire codice, leggere file, alzare i propri privilegi. Non produce rallentamenti, messaggi o anomalie visibili, quindi non esiste modo di accorgersene usando il server. Quando il produttore pubblica la correzione, pubblica implicitamente anche l'esistenza del problema: da quel momento chi cerca sistemi vulnerabili sa cosa cercare, e la ricerca è automatica e indiscriminata, non mirata alle aziende grandi.

Il tempo fra il rilascio della patch e la sua applicazione è quindi una finestra di rischio misurabile in giorni. È l'unico parametro su cui un piccolo ufficio può davvero agire: non può scrivere software sicuro, può applicare in fretta le correzioni di chi lo scrive.

Quali livelli di un server vanno aggiornati

L'errore più comune è aggiornare solo il sistema operativo. Un server ha almeno tre livelli indipendenti, ciascuno con il proprio canale e la propria cadenza, e una falla in uno qualsiasi dei tre basta a compromettere la macchina.

I tre livelli e come si aggiornano

Il firmware è il livello più dimenticato perché richiede spesso un riavvio e perché «funziona da anni». È anche quello che, se trascurato, lascia esposto il controller di gestione, cioè un accesso completo alla macchina anche da spenta: il motivo per cui va tenuto su rete interna e sorvegliato, come spiega la guida sul monitoraggio remoto del server.

Come si decide quali aggiornamenti di sicurezza installare subito?

Non tutte le patch hanno la stessa urgenza, e trattarle tutte come critiche porta a non applicarne nessuna. I due criteri pubblici e verificabili sono la gravità tecnica e l'esistenza di attacchi reali.

Che cosa dice il punteggio CVSS

Il CVSS (Common Vulnerability Scoring System) assegna a ogni vulnerabilità un punteggio da 0 a 10. Nella versione 3.1 la scala qualitativa pubblicata dal FIRST, l'organizzazione che mantiene lo standard, è questa: 0,0 nessuna gravità; da 0,1 a 3,9 bassa; da 4,0 a 6,9 media; da 7,0 a 8,9 alta; da 9,0 a 10,0 critica. Per un ufficio la traduzione pratica è: punteggio alto o critico su un servizio raggiungibile dall'esterno significa intervenire subito, punteggio medio su un componente interno può attendere la finestra mensile.

Il catalogo delle vulnerabilità già sfruttate

La CISA, l'agenzia statunitense per la cibersicurezza, pubblica il catalogo KEV (Known Exploited Vulnerabilities), che raccoglie le vulnerabilità per cui esiste prova affidabile di sfruttamento reale. Per entrarci una vulnerabilità deve avere un identificativo CVE assegnato, prove di esecuzione di codice non autorizzato su sistemi reali (non semplici scansioni o dimostrazioni di laboratorio) e una correzione chiara disponibile, che può anche consistere nel togliere dalla rete un prodotto fuori supporto. Una vulnerabilità presente in quel catalogo e relativa a un prodotto in uso in azienda è la definizione operativa di «urgente», anche se il punteggio CVSS non è massimo.

Ogni quanto si aggiorna un server e in quale finestra?

La cadenza di base è mensile, perché i principali produttori di sistemi operativi pubblicano gli aggiornamenti di sicurezza il secondo martedì di ogni mese. Una piccola azienda che applica le patch nella settimana successiva a quella data, in una finestra serale o del fine settimana, è allineata alla buona pratica. Alle urgenze si risponde fuori cadenza, entro pochi giorni, quando il produttore dichiara lo sfruttamento attivo o quando il servizio esposto è raggiungibile da internet.

La finestra va scelta e comunicata una volta per tutte, non decisa ogni mese: per la maggior parte degli uffici è il venerdì sera o la domenica mattina, con un'ora di margine e un referente reperibile. Le uniche due condizioni da rispettare sempre sono che il backup della sera prima sia stato verificato e che ci sia il tempo di tornare indietro se qualcosa non riparte.

Come si applica una patch senza fermare il lavoro

1. Verificare il backup della notte precedente: non basta che il lavoro sia partito, deve risultare completato, secondo i criteri della strategia 3-2-1.
2. Fare uno snapshot o un punto di ripristino se il server è virtualizzato: è la via di fuga più rapida.
3. Leggere le note di rilascio della patch, in particolare i riavvii richiesti e le incompatibilità dichiarate con gestionali e driver.
4. Applicare prima su una macchina non critica, dove esiste: un secondo server, una macchina virtuale di prova, un PC con lo stesso software.
5. Aggiornare nella finestra concordata, un livello per volta: prima sistema operativo, poi applicativi, il firmware in un intervento dedicato.
6. Riavviare e provare i servizi davvero usati: accesso alle cartelle condivise, gestionale, stampa, posta, accesso da remoto. La prova la fa chi li usa, non chi ha applicato la patch.
7. Annotare data, versione e esito in un registro: è ciò che permette di capire, fra sei mesi, dopo quale aggiornamento è comparso un problema.

Il rischio vero è un aggiornamento che rompe qualcosa

Il timore che una patch blocchi il gestionale non è infondato, ma si gestisce, mentre una compromissione no. Le tre difese sono nell'ordine: backup verificato e ripristinabile, snapshot della macchina virtuale prima dell'intervento, e un contratto di assistenza che copra l'eventualità. Dove il gestionale è certificato dal fornitore solo per certe versioni, la strada corretta è chiedere al fornitore il calendario di compatibilità, non congelare il server per anni: un software che impedisce di aggiornare il sistema operativo è un costo nascosto da mettere sul tavolo al rinnovo del contratto.

Chi non ha personale tecnico interno può appoggiare l'intera procedura a un servizio di assistenza da remoto, concordando la finestra e il registro degli interventi: è la forma più economica di manutenzione programmata, e resta molto sotto il costo di un fermo non pianificato.

Quando il server non si può più aggiornare: il fine supporto

Un sistema operativo fuori supporto non riceve più patch di sicurezza: le falle scoperte dopo quella data restano aperte per sempre. Per Windows Server le date di fine supporto esteso pubblicate da Microsoft sono le seguenti.

La sostituzione va pianificata con almeno sei mesi di anticipo, perché comporta migrazione dei dati, verifica del gestionale e nuove licenze: i criteri di scelta sono nella guida su Windows Server Standard o Datacenter e, per gli accessi degli utenti, in quella sulle CAL per utente o per dispositivo. Lo stesso ragionamento vale per l'hardware ricondizionato, dove la disponibilità di firmware aggiornati è uno dei controlli da fare prima dell'acquisto, come spiega la guida sul server usato o ricondizionato.

Gli aggiornamenti sono anche un obbligo, non solo una buona pratica

Chi tratta dati personali deve adottare misure tecniche e organizzative adeguate: l'articolo 32 del Regolamento UE 2016/679 (GDPR) cita esplicitamente la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi e di ripristinare i dati dopo un incidente. Un server tenuto volutamente senza patch per anni è difficile da far rientrare in quelle misure, e in caso di violazione dei dati la valutazione riguarda anche quello.

A questo si è aggiunta la normativa sulla cibersicurezza: il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, recepisce in Italia la direttiva (UE) 2022/2555, nota come NIS2, e introduce obblighi di gestione del rischio e di notifica degli incidenti per i soggetti che rientrano nel suo ambito di applicazione, individuati per settore e dimensione. Verificare se la propria azienda rientri o meno è una valutazione da fare con un consulente; la manutenzione degli aggiornamenti resta comunque il primo dei requisiti che ogni schema di sicurezza chiede.

Quanto costa tenere aggiornato un server

Le voci sotto vengono dal catalogo initpc e servono a confrontare il costo della manutenzione con quello della macchina e delle licenze.

Prezzi del catalogo initpc rilevati a settembre 2026, solo prodotti disponibili; i listini cambiano nel tempo.

A far salire la spesa non sono le patch, che sono incluse nel supporto del prodotto, ma le due voci intorno: le ore di chi le applica e le licenze da rinnovare quando una versione arriva a fine supporto. La fascia bassa, cioè poche ore di assistenza programmata all'anno, è sufficiente a un ufficio con un server; il software di gestione ha senso quando gli apparati da aggiornare sono decine.

Errori da evitare

• Rimandare perché «il server funziona»: il funzionamento non dice nulla sulle falle aperte.
• Aggiornare il sistema operativo e mai il firmware, il NAS, il gruppo di continuità o il firewall.
• Applicare le patch senza avere verificato il backup della notte prima.
• Lasciare il controller di gestione con la password di fabbrica o raggiungibile da internet.
• Restare su una versione fuori supporto per non rifare le licenze: il risparmio dura fino al primo incidente.
• Non tenere traccia di cosa è stato aggiornato e quando, e non riuscire più a ricostruire la causa di un problema.

Come organizzare gli aggiornamenti in un ufficio piccolo

Il minimo che funziona è: un inventario di macchine, sistemi e applicativi su un foglio; una finestra fissa mensile fuori orario; il backup verificato prima di ogni intervento; un registro di cosa è stato aggiornato; e una regola di urgenza per le vulnerabilità già sfruttate. Se non c'è nessuno in azienda che possa occuparsene, la stessa procedura si affida a un tecnico esterno con poche ore programmate all'anno. Il quadro generale sulla macchina e sulle alternative è in server per una piccola azienda e, per la scelta fra NAS e server, in differenza fra NAS e server vero. Licenze, rinnovi e server aggiornabili sono nella categoria Licenze server dello shop.