Il sito dell’istituto su WordPress si può compromettere mentre chi lo amministra è collegato al pannello, e la versione che chiude la falla è la 7.1.1, mentre dal 1° febbraio 2027 il codice via SMS smette di valere sugli account Microsoft di docenti e personale ATA e una rilevazione CRIF misura in sei mesi l’esposizione sul dark web di 2,5 miliardi di dati, collocando l’Italia al terzo posto al mondo per credenziali sottratte

Se avete tempo per una cosa sola, oggi è la prima notizia, e il destinatario è chi cura il sito dell’istituto. La falla battezzata Click2Shell permette di installare un tema su WordPress senza autenticazione e poi di far eseguire codice PHP sul server, riguarda le versioni 7.1.0 e precedenti e si chiude aggiornando alla 7.1.1. La condizione perché funzioni non è esotica: serve che una persona già collegata al pannello apra un indirizzo preparato apposta, cioè la giornata normale di chi pubblica circolari e allegati. Se il sito è affidato a un fornitore esterno, la richiesta va inoltrata oggi con protocollo e la conferma della versione installata va chiesta per iscritto; se l’aggiornamento non è immediato, si domanda se è stato impostato DISALLOW_FILE_MODS nel file di configurazione.

Le prime tre notizie si leggono insieme, e insieme dicono una cosa sola sulle identità digitali della scuola. Click2Shell sfrutta una sessione di amministrazione già aperta. Il ritiro dell’SMS da Microsoft Entra ID, fissato al 1° febbraio 2027, toglie di mezzo un secondo fattore che si può convincere una persona a consegnare, e lo sostituisce con passkey e chiavi fisiche: la scadenza cade fra scrutini e iscrizioni, e questo da solo è il motivo per fare l’inventario degli account in autunno, a partire dall’elenco che restituisce lo script pubblicato da Microsoft. La rilevazione CRIF completa il quadro con i 2,5 miliardi di dati esposti in sei mesi, l’Italia terza al mondo per account rubati dagli infostealer e, soprattutto, l’età di chi riceve gli avvisi, concentrata fra i 41 e i 60 anni, cioè l’età media di chi in una scuola tiene le credenziali del registro e della posta istituzionale.

Le ultime due voci non chiedono niente a nessuno, e vale la pena dirlo per non far perdere tempo. La previsione Gartner sui 2.670 miliardi di spesa mondiale, di cui il 56 per cento in centri dati, è scenario e ottimo materiale per un’ora di educazione civica digitale, perché è un numero enorme di cui la fonte stessa ammette di non conoscere il metodo. La guida sulla perizia della nuova Transizione 5.0 alla scuola non si applica affatto. Le abbiamo tenute entrambe perché insegnano lo stesso mestiere da due lati: leggere un numero chiedendosi chi l’ha prodotto, e tenere una carta in ordine mentre la si può ancora scrivere.

Siti di istituto

Basta che chi amministra il sito della scuola apra un collegamento mentre è dentro il pannello: la falla Click2Shell riguarda WordPress fino alla 7.1.0 e permette di far girare codice sul server, la versione corretta è la 7.1.1

BleepingComputer riferisce il 21 settembre 2026 della vulnerabilità del nucleo di WordPress chiamata Click2Shell, grazie alla quale è possibile far installare un tema a un sito senza alcuna autenticazione e poi far girare codice PHP sul server che lo ospita. Sono interessate WordPress Core 7.1.0 e tutte le versioni precedenti; la versione che corregge il problema è la 7.1.1. La falla è stata individuata da Paulos Yibelo, di pwn.ai, e segnalata il 22 agosto 2026. Lo sfruttamento non è del tutto automatico: richiede che una persona già collegata come amministratore apra un indirizzo costruito apposta, attraverso una catena che unisce una falsificazione di richiesta fra siti, cioè il meccanismo per cui il browser di chi è già autenticato compie un’azione che il suo proprietario non ha voluto, e la normale procedura di installazione dei temi. All’origine, spiega l’articolo, c’è una discrepanza nel modo in cui l’indirizzo di anteprima del tema viene interpretato dall’API di WordPress.org e dal codice JavaScript che gira nel browser: da quella differenza passano prima l’installazione non autenticata del tema e poi l’esecuzione di codice PHP durante l’anteprima nel Customizer, cioè lo strumento con cui si modifica l’aspetto del sito. I rimedi indicati sono aggiornare subito alla 7.1.1 e, per chi non riesce a farlo nell’immediato, impostare DISALLOW_FILE_MODS nel file di configurazione, che blocca l’installazione forzata del tema. L’articolo non riporta un identificativo CVE, non dice se esistano attacchi già in corso su questa specifica falla, non entra nel dettaglio del codice difettoso e non stima quanti siti nel mondo siano ancora sotto la 7.1.1.

Il commento. Moltissimi siti di istituto sono costruiti su WordPress, spesso con un tema per la pubblica amministrazione, e chi ci mette le mani è quasi sempre una persona sola: l’animatore digitale, un docente con l’incarico, oppure la ditta esterna che ha fatto il sito e che entra quando serve. Quella persona sta collegata al pannello per ore mentre pubblica circolari, allega graduatorie e sistema il calendario, e nel frattempo legge la posta e apre i collegamenti che arrivano. È esattamente la condizione in cui questo attacco funziona, e per questo la notizia va girata oggi, non alla prossima riunione. La spiegazione comoda, cioè che i guai arrivano scaricando allegati strani, qui non regge: non c’è nulla da scaricare e nulla da confermare, il gesto pericoloso è aprire un indirizzo mentre la sessione di amministrazione è aperta. Tre cose da fare, in ordine. La prima costa due minuti e la può fare chi ha le credenziali: entrare nella bacheca, leggere la versione di WordPress e, se è 7.1.0 o precedente, aggiornare alla 7.1.1. La seconda riguarda le scuole che il sito lo hanno affidato a un fornitore esterno, e sono la maggioranza. La richiesta va mandata per posta con protocollo, chiedendo conferma scritta della versione installata e della data dell’aggiornamento: non è burocrazia, è l’unico modo perché fra sei mesi qualcuno sappia dire che cosa è stato fatto e quando. Se il fornitore risponde che non può aggiornare subito perché il tema si rompe, la domanda successiva è se ha impostato DISALLOW_FILE_MODS nel file di configurazione, con l’avvertenza che finché quella riga resta attiva nessuno potrà installare temi o componenti aggiuntivi dal pannello. La terza è una regola di igiene che vale oltre questa falla e costa zero: chi amministra il sito tiene quel pannello in una finestra separata del browser e chiude la sessione quando ha finito, invece di lasciarla aperta per settimane. C’è poi una cautela, perché non vendiamo allarme: la fonte non dice che ci siano attacchi in corso e non indica nemmeno un identificativo CVE. Il motivo per muoversi comunque è un altro, ed è istituzionale prima che tecnico. Il sito della scuola è il canale con cui si notificano atti alle famiglie e si pubblicano documenti con valore legale, e un sito su cui qualcuno ha potuto eseguire codice non è un sito da ripulire in fretta: è un incidente da gestire, con il responsabile della protezione dei dati, mentre l’anno scolastico è già cominciato.

D.R.

Fonte: BleepingComputer

Personale

Dal 1° febbraio 2027 gli account Microsoft della scuola non accettano più il codice via SMS, né per entrare né come secondo fattore: al suo posto passkey, chiavi FIDO2 e accesso con codice QR, e resta aperto il problema di chi non ha un telefono di servizio

BleepingComputer riferisce il 21 settembre 2026, a firma di Sergiu Gatlan, che Microsoft ritira l’accesso con SMS come primo fattore su Entra ID, il sistema con cui si governano gli account delle organizzazioni che usano i servizi Microsoft, a partire dal 1° febbraio 2027. Dopo quella data non sarà più possibile usare l’SMS né la chiamata vocale, e il divieto vale sia per l’autenticazione iniziale sia per il secondo fattore. Le alternative approvate, descritte come resistenti al phishing, sono le passkey, cioè le chiavi di accesso legate al dispositivo che prendono il posto della password, le chiavi di sicurezza FIDO2, che sono oggetti fisici da inserire o avvicinare al dispositivo, l’autenticazione tramite codice QR, oppure il ricorso a operatori di telecomunicazione terzi. Per i tenant di livello gratuito il ritiro è già avvenuto ad agosto 2026. Con settembre 2026 il metodo di autenticazione proposto di serie diventa la passkey, e a proposito di chi oggi è abilitato a SMS e voce Microsoft scrive che «verranno automaticamente abilitati alle passkey». Chi amministra può individuare le persone interessate con uno script PowerShell pubblicato da Microsoft e chiamato «Entra SMS/Voice Policy Scanner». Il cambiamento riguarda soltanto l’autenticazione dei tenant delle organizzazioni e non tocca gli scenari Azure AD B2C ed External ID. L’articolo non dice che cosa accada materialmente alla persona che il 1° febbraio 2027 abbia ancora configurato soltanto l’SMS, non indica se siano previste proroghe o eccezioni, non quantifica le organizzazioni ancora ferme all’SMS e non dice nulla sugli account di chi non dispone di uno smartphone fornito dall’ente.

Il commento. Nelle scuole che lavorano con Microsoft 365 questa scadenza tocca gli account di tutti: dirigente, docenti, assistenti amministrativi, tecnici. E tocca in particolare le persone per cui l’SMS è l’unico secondo fattore mai configurato, perché il giorno dell’attivazione era la cosa più rapida da impostare allo sportello. Il primo punto da sapere è che cosa non sappiamo: la fonte non dice che cosa succede il 1° febbraio 2027 a chi ha ancora solo l’SMS, e non indica proroghe. Tradotto in termini di calendario scolastico, significa che il rischio, se si realizza, cade in pieno febbraio, cioè fra lo scrutinio del primo quadrimestre e le iscrizioni, nel periodo in cui una segreteria non può permettersi tre giorni di accessi bloccati. È questo, più della tecnologia, il motivo per muoversi in autunno. Tre cose da fare, e nessuna richiede un consulente esterno se la scuola ha un amministratore del proprio ambiente. La prima: far eseguire lo script che Microsoft ha pubblicato, l’Entra SMS/Voice Policy Scanner, e ricavarne l’elenco nominativo di chi è ancora su SMS o chiamata vocale. Finché non c’è quell’elenco si sta pianificando a occhio, e tipicamente si sottostima. La seconda: dividere quell’elenco in due colonne, perché la soluzione non è la stessa per tutti. Chi ha un dispositivo su cui è ragionevole configurare una passkey può passare in cinque minuti, magari durante una riunione di dipartimento con qualcuno che aiuta. Per chi non ha un telefono di servizio la strada pulita è la chiave fisica FIDO2, che si acquista, si inventaria e si consegna con una firma esattamente come una chiave dell’edificio. La terza è la più delicata e va affrontata adesso, non a gennaio: nella scuola non è scontato che un docente o un assistente amministrativo debba usare il proprio telefono personale per accedere a uno strumento di lavoro, e fino a oggi l’SMS mascherava il problema perché arrivava comunque. Togliendo l’SMS la questione diventa esplicita, e la risposta corretta non è chiedere a ciascuno di arrangiarsi: è prevedere un numero di chiavi fisiche nel programma annuale, prima che il capitolo sia impegnato altrove. Sull’ultima cosa vale la pena essere espliciti, perché smonta l’obiezione più frequente, cioè che l’SMS andasse benissimo così. Microsoft non chiama i nuovi metodi più moderni, li chiama resistenti al phishing, e quell’aggettivo dice in controluce che cosa si sta togliendo: un codice che arriva via messaggio si può convincere una persona a digitarlo su una pagina falsa, una passkey no.

D.R.

Fonte: BleepingComputer

Credenziali

Due miliardi e mezzo di dati esposti sul dark web in sei mesi e l’Italia terza al mondo per account rubati dagli infostealer: e chi riceve l’avviso ha per più della metà fra i 41 e i 60 anni, cioè l’età media di chi in una scuola tiene le password

L’ANSA riferisce il 21 settembre 2026 i risultati di una rilevazione CRIF relativa al primo semestre 2026, secondo cui sul dark web sono stati esposti 2,5 miliardi di dati. La minaccia principale è rappresentata dagli infostealer, programmi malevoli diffusi attraverso campagne di phishing e applicazioni contraffatte, che raccolgono in silenzio le credenziali salvate e le informazioni presenti sul dispositivo. L’Italia risulta terza al mondo per numero di account sottratti tramite infostealer, dopo Stati Uniti e Francia. I dati esposti più spesso sono, nell’ordine, le password, gli indirizzi di posta elettronica, i nomi utente, i numeri di telefono e il nome con il cognome. Cresce molto il dato sulle carte di pagamento: il numero della carta di credito risulta accompagnato dal codice di sicurezza e dalla data di scadenza nel 99,8 per cento dei casi. Quanto alla tipologia di account compromessi, i portali di lavoro e i siti di news valgono il 26,6 per cento, i social network il 20,8 e i forum e i siti web il 16,3. Se si guarda invece al furto combinato di posta elettronica e password, l’Italia scende al sesto posto, preceduta da Stati Uniti, Russia, Germania, Francia e Regno Unito; fra gli utenti monitorati ha ricevuto un avviso il 32,3 per cento. Degli italiani allertati, la fascia 51-60 anni pesa il 26,7 per cento, la fascia 41-50 il 26,6 e gli over 60 il 20,3, mentre la quota maschile è del 64,3 per cento. Le regioni più colpite risultano la Lombardia con il 15,7 per cento, il Lazio con il 12,3, la Sicilia con l’11,3, l’Emilia-Romagna con il 9,7 e il Piemonte con il 9,5. La rilevazione non distingue gli account personali da quelli professionali, non dice quanti dei 2,5 miliardi di dati riguardino l’Italia in valore assoluto, non indica la dimensione del campione monitorato da CRIF e non quantifica le frodi effettivamente riuscite.

Il commento. Una premessa che conta più delle percentuali: CRIF non dichiara quante persone tiene sotto osservazione, quindi il 32,3 per cento di allertati è una quota calcolata su un insieme di dimensione ignota. Va letta come la forma del fenomeno, non come una misura dell’Italia, e se qualcuno la porta in un collegio docenti conviene dirlo prima. Detto questo, c’è un dato che parla alla scuola più di ogni altro, ed è l’anagrafica: fra i 41 e i 60 anni si concentra più della metà delle persone allertate. È l’età media del personale scolastico italiano, cioè di chi ha in mano le credenziali del registro elettronico, quelle della posta istituzionale e, in segreteria, gli accessi ai portali ministeriali. La spiegazione comoda da smontare è quella che sentiamo dopo ogni notizia di questo tipo, cioè che si tratti di grandi archivi violati e che tocchi ai fornitori difendersi. Un infostealer non attacca il registro elettronico: si installa sul computer di una persona, tipicamente con un programma scaricato fuori dai canali ufficiali o con un allegato aperto in fretta, e si porta via quello che il browser ha memorizzato per comodità. Il punto di cedimento non è il server della piattaforma, è il portatile di casa da cui un docente firma il registro la sera. Tre cose utili da fare in questo periodo dell’anno. La prima, che si può inserire in una circolare di due paragrafi: invitare chi usa un computer personale per il lavoro scolastico ad aprire la sezione del browser che elenca le password salvate e a togliere da lì almeno quelle del registro e della posta istituzionale, digitandole quando servono. La seconda riguarda i laboratori e i computer condivisi, dove il problema è diverso e più insidioso: su una macchina usata da molti il salvataggio automatico delle credenziali va disattivato una volta per tutte dal tecnico, perché su un computer condiviso non basta ricordarsi di uscire. La terza riguarda il software: il 26,6 per cento degli account compromessi viene da portali di lavoro e siti di news, e le applicazioni contraffatte sono una delle due vie di diffusione indicate. In molte scuole non esiste una regola scritta su chi può installare programmi sulle macchine dell’istituto, e scriverla in poche righe è un atto che costa una riunione. Resta una lezione che vale oltre la giornata: le credenziali rubate non servono a chi le ruba, servono a chi le compra mesi dopo, quando nessuno ricorda più di aver installato niente e la password è ancora la stessa.

D.R.

Fonte: ANSA

Didattica

Gartner stima 2.670 miliardi di dollari di spesa mondiale in intelligenza artificiale nel 2026 e il 56 per cento sono centri dati: un numero che non chiede nessun adempimento alla scuola, ma che in classe vale come esercizio di lettura critica

THE Journal riferisce il 21 settembre 2026 che Gartner prevede per il 2026 una spesa mondiale in intelligenza artificiale pari a 2.670 miliardi di dollari, con un aumento del 49,5 per cento rispetto ai 1.790 miliardi del 2025. La ripartizione indicata assegna alle infrastrutture 1.484 miliardi, pari al 56 per cento del totale, ai servizi 576,5 miliardi, al software 461,6 miliardi, agli agenti e assistenti 29,2 miliardi e ai modelli generativi 28,3 miliardi. Rispetto alla previsione diffusa nel gennaio 2026 la stima è stata alzata di circa 143 miliardi, e 118 miliardi di quell’aumento, cioè l’83 per cento, derivano dalla sola revisione al rialzo delle infrastrutture. Per John-David Lovelock, distinguished vice president analyst della società, «the buildout of AI data center capacity is the largest infrastructure project humanity has ever undertaken»: la costruzione di capacità nei centri dati per l’intelligenza artificiale sarebbe dunque il più grande progetto infrastrutturale mai intrapreso dall’umanità. Se si sommano le voci che raggiungono chi poi userà gli strumenti, cioè software, agenti, assistenti e modelli, si ottengono circa 519 miliardi su 2.670, meno di un quinto del totale. L’articolo ammette esplicitamente di non sapere con quale metodo Gartner costruisca la previsione, da quali fonti parta, quale modello adotti e dove tracci il confine di ciò che chiama spesa in intelligenza artificiale; non distingue, dentro la voce infrastrutture, fra acquisto reale e impegno pluriennale annunciato; non chiarisce quale porzione risulti conteggiata più di una volta nel giro di scambi fra chi produce i processori, i grandi operatori del cloud e le società che sviluppano i modelli; e non offre alcuna cifra sul ritorno economico prodotto da quella spesa. Il comunicato originale di Gartner è del 16 settembre e questo articolo ne è una ripresa.

Il commento. Va detto subito, perché nessuno perda tempo: questa notizia non chiede alla scuola nessun adempimento, non riguarda acquisti, non riguarda il piano triennale e non va messa in nessun documento. Vale come scenario, e vale molto bene come materiale didattico, che è la ragione per cui l’abbiamo tenuta. Il numero da portare in classe non è il totale, che è troppo grande per significare qualcosa: è il rapporto fra 1.484 e 2.670. Più della metà della spesa mondiale in intelligenza artificiale non è software, sono edifici, macchine, corrente elettrica e raffreddamento, cioè oggetti fisici in posti fisici. Per un’ora di educazione civica digitale o di geografia questo rovescia l’immagine che gli studenti hanno dell’argomento, cioè qualcosa che accade nel telefono e in nessun luogo, e apre le domande giuste: dove stanno questi centri dati, quanta energia consumano, chi paga la costruzione e in quanti anni pensa di rientrare. Il secondo uso è ancora migliore, e riguarda la lettura critica delle fonti, che è competenza di italiano e di cittadinanza prima che di informatica. Prendete l’articolo così com’è: dichiara una cifra enorme e nello stesso tempo ammette di non sapere con quale metodo sia stata prodotta, non distingue fra acquisti reali e impegni annunciati, non dice quanta parte di quel denaro sia contata due volte nel giro fra chi produce i processori, chi vende la capacità di calcolo e chi costruisce i modelli, e non riporta un solo dato su quanto quella spesa renda. È un esercizio completo e gratuito: una classe del secondo biennio può elencare in venti minuti tutto ciò che la fonte non dice, ed è un allenamento più utile di qualsiasi lezione teorica sulle fake news, perché qui non c’è nessuna falsità, c’è solo un numero usato senza il suo metodo. Un’ultima avvertenza pratica per chi dirige. Quando arriva un fornitore che propone alla scuola una piattaforma con intelligenza artificiale e apre la presentazione con la cifra di Gartner, ora sapete che quella cifra parla soprattutto di centri dati e non della qualità del prodotto che vi sta vendendo. La spiegazione comoda, cioè che un mercato che cresce del 49,5 per cento all’anno sia la prova che lo strumento funziona, è quella sbagliata: la crescita della spesa misura quanto si investe, non quanto si ottiene, e la fonte su quanto si ottiene non dice niente.

D.R.

Fonte: THE Journal

Soldi pubblici

La perizia asseverata della nuova Transizione 5.0 diventa obbligatoria senza soglie per chi investe in beni strumentali: non riguarda le istituzioni scolastiche, e l’unica cosa che vale la pena portarsi via è come si dimostra una data

Innovation Post pubblica il 21 settembre 2026, a firma di Marco Belardi, una guida tecnica sulla perizia asseverata nella Nuova Transizione 5.0. Non si tratta di un nuovo bando, ma dell’approfondimento di un adempimento che nel nuovo iperammortamento è diventato obbligatorio senza soglie di esenzione per tutti gli investimenti effettuati dal 1° gennaio 2026 al 30 settembre 2028. Gli errori ricorrenti elencati sono dieci. Il bene viene classificato in base al nome con cui il fornitore lo vende e non alla funzione che svolge nel processo produttivo. Un bene articolato viene esaminato pezzo per pezzo invece che come un unico sistema. Vengono fatti entrare impropriamente gli impianti generali. Il revamping, cioè il rifacimento di una macchina esistente, viene dato per ammissibile senza controllarne i presupposti. I costi del software e quelli dell’hardware finiscono in un’unica voce invece di restare distinti. Ai beni dell’allegato B e del gruppo IV vengono applicate le regole previste per il gruppo I. L’interconnessione viene affermata senza allegare registri, schemi o esiti dei test che la provino. Si fa confusione fra il giorno della fattura, quello della consegna, quello in cui il bene è entrato in funzione e quello in cui è stato interconnesso. L’asseverazione arriva dopo la chiusura dell’esercizio, oppure priva di marca temporale. Infine il tecnico attesta importi economici, che sono materia del commercialista. L’articolo non riporta la dotazione della misura, le percentuali di maggiorazione, la piattaforma di prenotazione né gli estremi normativi completi, trattandosi di un testo tecnico e non della scheda dell’incentivo, e non dice quali sanzioni o recuperi conseguano a una perizia difettosa.

Il commento. Questa notizia non riguarda la scuola, e lo diciamo chiaramente invece di forzare un collegamento che non c’è. La Nuova Transizione 5.0 è un iperammortamento, cioè un meccanismo fiscale che agisce sul reddito d’impresa: un’istituzione scolastica statale non ha reddito d’impresa, non partecipa, non deve fare niente e non deve informare nessuno. Se in un istituto arriva un fornitore di macchinari o di attrezzature per i laboratori che nomina la Transizione 5.0 come se fosse una cosa che vi riguarda, la risposta è che quel vantaggio è suo o di un’azienda cliente, non vostro, e non va inseguito. Vale comunque la pena leggerla per due ragioni, entrambe di metodo. La prima interessa chi negli istituti tecnici e professionali cura i percorsi per le competenze trasversali e i rapporti con le aziende del territorio. Nei prossimi mesi molte imprese che ospitano vostri studenti staranno installando macchine e software contando su questa agevolazione, e sapere che l’ostacolo vero non è comprare la macchina ma dimostrarne l’interconnessione con registri, schemi ed esiti di test vi dà un argomento concreto quando si progetta un percorso insieme: la documentazione di un impianto è un lavoro vero, spiegabile agli studenti, e in quel momento è anche un’urgenza per l’azienda. La seconda ragione riguarda chi in segreteria segue acquisti e collaudi, e qui il parallelo è onesto perché il problema è identico anche se la norma è diversa. L’errore che l’articolo indica come più frequente non è tecnico, è di ordine: confondere la data della fattura, quella della consegna, quella dell’entrata in funzione e quella dell’interconnessione, oppure firmare un’attestazione senza marca temporale, o ancora lasciare che il tecnico certifichi importi che spettano a chi tiene i conti. Sono esattamente le cose che fanno saltare anche un progetto finanziato con fondi europei in una scuola, dove l’acquisto è quasi sempre corretto e a mancare è il verbale con la data giusta. La lezione che dura oltre la giornata è questa: un finanziamento non si perde quasi mai per la cosa che si è comprata, si perde per la cosa che non si è scritta nel momento in cui si poteva ancora scriverla.

D.R.

Fonte: Innovation Post