# Kerio Control e Kerio Connect: exploit pubblici e aggiornamenti da non rimandare

> A inizio ottobre 2026 sono comparsi su GitHub exploit pronti all'uso per Kerio Control: tre vulnerabilità del 2025 che, messe in fila, consegnano il firewall all'attaccante. Come funziona l'attacco, le correzioni di Kerio Connect e cosa fare se usate Kerio.

- Pubblicato: 2026-10-19
- Per chi: Titolari e responsabili IT di PMI che usano Kerio Control o Kerio Connect
- URL: https://cloudfactory.it/articoli/kerio-control-connect-vulnerabilita-2026/

## La notizia: il codice per attaccare Kerio Control è pubblico

Tra il 6 e il 9 ottobre 2026 sono comparsi su GitHub due exploit pronti all'uso per Kerio Control, il firewall di GFI molto diffuso nelle piccole e medie imprese europee ([Vulners](https://vulners.com/githubexploit/519CBC12-EEE8-5BE7-84CF-A1796166F3EA)). Sfruttano tre vulnerabilità note dall'estate 2025, con punteggio di gravità fino a 9,8 su 10: messe in fila, permettono a un attaccante di prendere il controllo completo del firewall, con i massimi privilegi.

Le correzioni esistono da oltre un anno. Il problema sono i firewall mai aggiornati: un apparato che "funziona" viene spesso lasciato com'è per anni. Da questo mese, per attaccarli non serve più un esperto: basta scaricare il codice.

Kerio è un caso concreto di un tema più generale. Firewall, VPN e server di posta sono gli apparati che stanno sul confine della rete, e proprio per questo sono i primi a essere presi di mira.

## Kerio Control: come funziona l'attacco

Le vulnerabilità sono state scoperte da un ricercatore indipendente e pubblicate da SSD Secure Disclosure nel giugno 2025 ([SSD](https://ssd-disclosure.com/ssd-advisory-kerio-control-authentication-bypass-and-rce/)). Il punto debole è GFIAgent, un servizio preinstallato da Kerio Control 9.4.3 per collegare il firewall alla console cloud GFI AppManager.

| Vulnerabilità | Cosa permette | Gravità |
| --- | --- | --- |
| [CVE-2025-34069](https://app.opencve.io/cve/?product=kerio_control&vendor=gfi) | Il proxy web del firewall, attivo di default sulla porta 3128, inoltra le richieste anche ai servizi interni dell'apparato, compreso GFIAgent | 9,8 critica |
| [CVE-2025-34070](https://app.opencve.io/cve/?product=kerio_control&vendor=gfi) | GFIAgent non chiede alcuna autenticazione: chi lo raggiunge può fare tutto ciò che fa l'amministratore dal pannello | 9,8 critica |
| [CVE-2025-34071](https://github.com/advisories/GHSA-p7cq-wxfh-7j76) | Il firewall accetta aggiornamenti del firmware non firmati: un amministratore, o chi ne ha preso il posto, può caricare un'immagine modificata e ottenere accesso permanente | 9,8 critica |

In pratica basta che l'attaccante possa usare il proxy del firewall. Può farlo chiunque sia già dentro la rete aziendale, per esempio da un PC infettato con un allegato, oppure dall'esterno se il proxy è raggiungibile da Internet: i ricercatori ne hanno contati quasi 300 esposti solo con una ricerca pubblica. Da lì si arriva al pannello di amministrazione senza password e poi al controllo totale del firewall.

Ciò che rende il caso serio è la persistenza. Un firewall con firmware modificato può intercettare il traffico, aprire varchi e sopravvivere ai riavvii, senza che nessuno se ne accorga.

**La correzione** è in Kerio Control 9.5 Patch 1 e versioni successive.

Non è la prima volta. All'inizio del 2025 un'altra falla di Kerio Control, la CVE-2024-52875, è stata sfruttata attivamente poche settimane dopo la pubblicazione del codice dimostrativo: bastava che un amministratore cliccasse un link per consegnare il firewall all'attaccante ([SecurityWeek](https://www.securityweek.com/gfi-keriocontrol-firewall-vulnerability-exploited-in-the-wild/)). Era presente nel prodotto da circa sette anni.

## Kerio Connect: la posta da tenere aggiornata

Kerio Connect, il server di posta e calendario della stessa famiglia, non ha falle così gravi oggi, ma ha ricevuto una serie di correzioni di sicurezza che molti server non hanno ancora installato ([GFI](https://gfi.ai/resource/kerioconnect-product-releases/)).

| Versione | Data | Correzioni di sicurezza |
| --- | --- | --- |
| 10.0.9 Patch 2 | 29 giugno 2026 | Iniezione di link malevoli nella webmail; rimossa la vecchia interfaccia webmail "nano", non più mantenuta; corretto un problema di permessi nell'installer di Kerio Outlook Connector che permetteva di ottenere privilegi elevati sul PC |
| 10.0.8 Patch 2 | 28 novembre 2025 | Un allegato SVG costruito ad arte poteva eseguire codice nella webmail quando veniva aperto |
| 10.0.8 | 27 agosto 2025 | Cross-site scripting nell'interfaccia web |

Due dettagli meritano attenzione. Nel 2025 sono state pubblicate alcune vulnerabilità di tipo cross-site scripting nella versione 10.0.6, segnalate senza risposta del produttore ([OpenCVE](https://opencve.alliance.unm.edu/cve/CVE-2025-2975)): chi è ancora su versioni di quel periodo dovrebbe aggiornare. E lo stesso agente GFI collegato ad AppManager è presente anche su Kerio Connect: i ricercatori di SSD hanno notato che diversi server Kerio Connect espongono su Internet una delle porte di quel servizio ([SSD](https://ssd-disclosure.com/ssd-advisory-kerio-control-authentication-bypass-and-rce/)). Vale la pena controllare che non sia il vostro caso.

La webmail è il punto più delicato: è esposta su Internet per definizione e la usano tutti i dipendenti, anche da fuori ufficio.

## Perché firewall e posta sono il bersaglio preferito

Nelle PMI il firewall e il server di posta sono spesso installati una volta e poi dimenticati. Funzionano, nessuno li tocca, e gli aggiornamenti si rimandano per non interrompere il servizio. Per un attaccante sono i bersagli ideali, per tre motivi.

- **Stanno sul confine.** Sono raggiungibili da Internet per definizione: chi li compromette è già dentro, senza dover ingannare nessun utente.
- **Vedono tutto.** Il firewall vede il traffico di tutta l'azienda, il server di posta tutte le comunicazioni con clienti e fornitori. Sono il punto perfetto per spiare, rubare credenziali o preparare una truffa via email.
- **Nessuno li controlla.** Su un firewall o un'appliance non gira l'antivirus dei PC. Una compromissione può durare mesi senza che nessuno se ne accorga.

Per questo i criminali sono molto rapidi su questi apparati: quando esce un exploit pubblico, le scansioni automatiche di Internet partono nel giro di giorni. Il caso Kerio del 2025 lo ha mostrato chiaramente.

## Cosa fare se usate Kerio

**Kerio Control**

1. **Controllate la versione.** Dal pannello di amministrazione: tutto ciò che è precedente alla 9.5 Patch 1 va aggiornato subito.
2. **Prima di aggiornare, salvate la configurazione.** e verificate di avere i dati di accesso alla licenza.
3. **Chiudete il proxy dall'esterno.** La porta 3128 non deve essere raggiungibile da Internet; anche internamente, limitatela alle reti che ne hanno davvero bisogno.
4. **Se non usate GFI AppManager.** , valutate con il supporto GFI o con chi gestisce il firewall se disattivare l'agente.
5. **Aggiornate solo con immagini scaricate dal sito ufficiale GFI.** , mai da file ricevuti per email o da terzi.
6. **Se il firewall è rimasto a lungo non aggiornato ed era esposto.** , considerate una reinstallazione pulita con la configurazione salvata: un firmware modificato non si vede dal pannello.

**Kerio Connect**

1. **Aggiornate alla 10.0.9 Patch 2.** o successiva, dopo un backup completo dei dati di posta.
2. **Aggiornate anche Kerio Outlook Connector.** sui PC che lo usano.
3. **Controllate le porte esposte.** Su Internet servono solo i servizi di posta e la webmail; il pannello di amministrazione e le porte dell'agente GFI vanno chiusi o limitati.
4. **Attivate l'autenticazione a due fattori.** per webmail e amministratori.

**Per entrambi:** attivate le notifiche di nuove versioni e mettete il firewall e il server di posta nel calendario di manutenzione mensile, insieme ai server.

## Come lavoriamo

In Cloudfactory gestiamo firewall e server di posta per aziende e studi professionali, compresi server Kerio Connect, accanto ai server Windows e Linux. Teniamo traccia delle versioni installate, leggiamo i bollettini dei produttori e pianifichiamo gli aggiornamenti in orari concordati, con backup e verifica del servizio dopo il riavvio.

Se usate Kerio e non sapete con certezza quale versione avete, [scriveteci](https://cloudfactory.it/#contact): controlliamo versione ed esposizione e vi diciamo cosa fare.

## Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

## Domande frequenti

### Il mio Kerio Control è vulnerabile?

Sì, se è una versione dalla 9.4.3 alla 9.4.5 senza le patch successive. La correzione è nella 9.5 Patch 1 e versioni più recenti.

### Serve che il firewall sia esposto su Internet per essere attaccato?

No. Basta che l'attaccante possa usare il proxy del firewall, cosa possibile per esempio da un PC già compromesso nella rete interna. Se il proxy è raggiungibile da Internet, il rischio è ancora più alto.

### Kerio Connect ha lo stesso problema?

Non le stesse vulnerabilità, ma ha ricevuto diverse correzioni di sicurezza nel 2025 e nel 2026. L'ultima versione con correzioni è la 10.0.9 Patch 2 di giugno 2026.

### Come capisco se il firewall è già stato compromesso?

Dal pannello è difficile, perché un firmware modificato può nascondersi. Se il firewall era vulnerabile ed esposto, la scelta prudente è reinstallarlo da un'immagine ufficiale e ripristinare la configurazione.

## Fonti

- [SSD Secure Disclosure, Kerio Control Authentication Bypass and RCE](https://ssd-disclosure.com/ssd-advisory-kerio-control-authentication-bypass-and-rce/)
- [Vulners, exploit pubblico per Kerio Control (ottobre 2026)](https://vulners.com/githubexploit/519CBC12-EEE8-5BE7-84CF-A1796166F3EA)
- [OpenCVE, vulnerabilità di Kerio Control](https://app.opencve.io/cve/?product=kerio_control&vendor=gfi)
- [GitHub Advisory, CVE-2025-34071](https://github.com/advisories/GHSA-p7cq-wxfh-7j76)
- [SecurityWeek, GFI KerioControl Firewall Vulnerability Exploited in the Wild](https://www.securityweek.com/gfi-keriocontrol-firewall-vulnerability-exploited-in-the-wild/)
- [GFI, KerioConnect Product Releases](https://gfi.ai/resource/kerioconnect-product-releases/)
- [OpenCVE, CVE-2025-2975 (Kerio Connect 10.0.6)](https://opencve.alliance.unm.edu/cve/CVE-2025-2975)

---

Cloudfactory S.r.l., Roma. Contatti: hello@cloudfactory.it