La segreteria apre la PEC per dovere, e fra il 23 e il 24 settembre il CERT-AGID trova falsi solleciti di pagamento spediti da caselle certificate vere e violate, mentre una seconda falla del nucleo di WordPress con gravità 9,2 su 10 rende vulnerabile proprio la versione 7.1.1 installata pochi giorni fa sui siti d’istituto, e il 30 settembre Microsoft Project Online si spegne portandosi dietro i piani dei progetti PNRR di chi non ha scaricato l’archivio

Anche questa edizione nasce da fonti pubblicate nelle ultime ore, lette pensando a chi lavora dentro una scuola.

Se avete tempo per una cosa sola, oggi è la prima notizia, e riguarda la segreteria più del collegio docenti. Il CERT-AGID ha trovato fra il 23 e il 24 settembre falsi solleciti di pagamento spediti da caselle di posta elettronica certificata vere e violate: mittente autentico, valore legale, allegato che sembra una fattura. Il consiglio che si ripete in ogni formazione, cioè controllare il mittente, qui non serve a nulla, mentre serve una regola semplice da dare all’ufficio contabilità: un archivio ZIP con dentro un file HTML non è mai una fattura e resta chiuso.

La seconda notizia parla a una persona sola in ogni istituto, l’animatore digitale o il docente che tiene il sito, e gli dice una cosa sgradevole: l’aggiornamento fatto la settimana scorsa non basta più. La versione 7.1.1 di WordPress, che chiudeva la falla precedente, è oggi quella vulnerabile, la gravità è 9,2 su 10 e i tentativi di sfruttamento sono cominciati lo stesso giorno della correzione. Il numero da leggere nel pannello è 7.1.2, oppure 7.0.6, 6.9.9 o 6.8.10 sui rami più vecchi. Il sito ospita l’albo e l’amministrazione trasparente, quindi non è un dettaglio tecnico ma un obbligo.

Le altre tre voci vanno lette sapendo che cosa non sono. Il rigetto dell’Antitrust sugli impegni di Microsoft nasce dal Codice del consumo e non tocca gli acquisti della scuola, ma insegna a chiedere per iscritto, a ogni modifica di un servizio, se esiste una versione senza la funzione aggiunta e a quale prezzo. La chiusura di Project Online il 30 settembre riguarda pochissimi istituti, quelli che ci hanno seguito un intervento PNRR, e per loro l’unica azione utile è scaricare l’archivio prima che il servizio si spenga da solo. Il comunicato Istat sull’innovazione, infine, alla scuola non dice nulla di diretto, ma è materiale ottimo per un’ora sul modo in cui un dato corretto diventa un titolo sbagliato.

Segreterie

Falsi solleciti di pagamento in arrivo da caselle PEC vere e violate: è il canale del protocollo, la posta che in segreteria si apre per obbligo, e dentro l’allegato c’è un archivio ZIP che contiene un file HTML

In un avviso del 24 settembre 2026 il CERT-AGID descrive una campagna osservata nelle quarantotto ore precedenti, fra il 23 e il 24 settembre 2026. L’elemento su cui l’avviso insiste è il canale: i messaggi partono da caselle di posta elettronica certificata compromesse, quindi con un mittente verificato e con il valore legale che la PEC porta con sé, e negli uffici amministrativi vengono aperti per dovere e non per curiosità. Si presentano come solleciti di pagamento e recano oggetti del tipo «Fattura non pagata – richiesta immediato riscontro», «Sollecito pagamento fattura scaduta», «Promemoria fattura in sospeso». Chi apre il messaggio trova un archivio ZIP al posto della fattura attesa, e dentro l’archivio un file HTML: è l’apertura di quel file a far partire uno scaricamento JavaScript dai server di chi conduce l’attacco. La sequenza completa ricostruita dal CERT-AGID va dalla PEC all’archivio ZIP, poi al file HTML, poi a JavaScript, poi a PowerShell, poi al programma intermedio MintsLoader e infine al malware vero e proprio, che può essere un programma di controllo a distanza oppure un ladro di credenziali. Le raccomandazioni sono due: la massima attenzione verso le PEC inattese che parlino di fatture, pagamenti o solleciti e contengano archivi ZIP, e l’inoltro al CERT-AGID delle comunicazioni sospette perché siano verificate; gli indicatori sono stati messi a disposizione degli enti accreditati attraverso il feed IoC. Restano fuori dall’avviso quattro informazioni: quante siano le caselle PEC compromesse e presso quali gestori, quanti messaggi malevoli siano partiti, quale sia il malware finale di questa specifica ondata e in che modo le caselle siano state violate all’origine.

Il commento. In una scuola questa notizia non arriva sul computer di un docente: arriva in segreteria, sulla casella del protocollo, cioè nel punto in cui passano i dati degli alunni, i fascicoli del personale, le graduatorie e i mandati di pagamento. Ed è il punto peggiore in cui possa arrivare, perché la PEC dell’istituto non si filtra e non si ignora: si protocolla. Un assistente amministrativo che apre una PEC con oggetto «Sollecito pagamento fattura scaduta» non sta facendo un errore di distrazione, sta facendo il proprio lavoro, e questo va detto prima di qualunque circolare, perché una comunicazione scritta in tono di rimprovero otterrà solo che il prossimo incidente venga nascosto invece che segnalato. La spiegazione comoda da smontare è la stessa che si ripete in ogni formazione sulla sicurezza, cioè guardate bene il mittente. Qui il mittente è autentico, la casella appartiene davvero a un’azienda o a un professionista che è stato violato, e la firma elettronica del gestore conferma tutto: non c’è nulla da smascherare. Tre cose da fare questa settimana, e la prima è la più semplice. La prima è una regola operativa scritta per l’ufficio contabilità e per chi protocolla: un archivio ZIP che contiene un file HTML non è mai una fattura né un documento contabile, e va lasciato chiuso; le fatture verso una scuola passano dal sistema di interscambio, non da un allegato compresso. La seconda è il controllo incrociato: se il sollecito sembra plausibile, si verifica aprendo il gestionale della contabilità e i documenti già protocollati, e se il dubbio resta si telefona al fornitore al numero già presente nei contratti, mai a quello indicato nel messaggio. La terza riguarda il direttore dei servizi generali e amministrativi e vale la pena metterla a verbale: chi si chiama, in quale ordine, se qualcuno apre l’allegato, e chi stacca il cavo di rete da quel computer. La lezione che resta oltre la giornata è che la casella PEC dell’istituto è essa stessa un bersaglio, e che il giorno in cui fosse violata i messaggi partirebbero verso famiglie, fornitori e uffici scolastici territoriali con la vostra firma. Password cambiata e secondo fattore attivo dove il gestore lo permette sono un lavoro di un quarto d’ora che protegge soprattutto gli altri.

D.R.

Fonte: CERT-AGID

Siti scolastici

Il sito dell’istituto fatto con WordPress va aggiornato di nuovo: la falla CVE-2026-87902 ha gravità 9,2 su 10, è stata sfruttata poche ore dopo la correzione, e la versione vulnerabile è proprio la 7.1.1 installata la settimana scorsa

In un articolo del 24 settembre 2026 The Hacker News ricostruisce lo sfruttamento in corso di una vulnerabilità che ha ricevuto il codice CVE-2026-87902 e un punteggio di gravità pari a 9,2 su 10. Non si tratta di un componente aggiuntivo né di un tema, ma del nucleo stesso di WordPress: la funzione get_page_template(), che decide quale modello usare per disegnare una pagina, può essere indotta a includere un qualunque file con estensione php già presente sul server e leggibile, scelto da chi conduce l’attacco. La correzione è uscita il 22 settembre 2026 nelle versioni 7.1.2, 7.0.6, 6.9.9 e 6.8.10; restano scoperte la 7.1.1 e tutte le precedenti, oltre alla 7.0.5, alla 6.9.8 e alla 6.8.9 sui rami più vecchi. Lo stesso 22 settembre, alle 11:49 UTC, è stato registrato il primo tentativo di attacco, e al momento dell’articolo i tentativi contati erano 68; fra i file comparsi sui server presi di mira si trovano nomi come wp-pear-rce-flag.php e poc87902.php. La circostanza che l’articolo mette in primo piano è la successione: è la seconda falla del nucleo in pochi giorni, e la prima, quella conosciuta come Click2Shell, era stata risolta proprio con la versione 7.1.1, che oggi è la versione da correggere. Aggiornare a inizio settimana, quindi, non mette al riparo. L’articolo non azzarda una stima delle installazioni ancora esposte, non riferisce quanti siti siano stati effettivamente compromessi, non pubblica indicatori forensi che vadano oltre i nomi dei file e non suggerisce interventi di bonifica diversi dall’aggiornamento e dalla verifica.

Il commento. Molti istituti hanno il sito su WordPress, spesso nella versione predisposta per le scuole, e quasi sempre lo tiene in piedi l’animatore digitale o un docente con una funzione strumentale, cioè una persona che lo fa in aggiunta al proprio orario. È a quella persona che questa voce parla, e la prima cosa da dirle è che la diligenza della settimana scorsa non la copre. La spiegazione comoda, e in questo caso quasi crudele, è proprio quella: ho aggiornato pochi giorni fa, sono a posto. La 7.1.1 chiudeva la falla precedente ed è oggi la versione bucata, quindi chi ha fatto l’aggiornamento per tempo si sente tranquillo mentre è esposto. La seconda idea da togliere di mezzo è che il sito di una scuola non interessi a nessuno: i 68 tentativi contati in poco più di un giorno non sono persone che scelgono un bersaglio, sono programmi automatici che provano ogni indirizzo che trovano, e un dominio istituzionale con buona reputazione è anzi più appetibile, perché serve a ospitare pagine ingannevoli che gli altri si fidano ad aprire. Che cosa fare, in ordine. Entrate nel pannello di amministrazione e leggete il numero di versione: se non è 7.1.2, oppure 7.0.6, 6.9.9 o 6.8.10 sui rami più vecchi, l’aggiornamento non c’è. Se il sito è ospitato da un fornitore esterno, la mail da mandare oggi contiene due domande sole e conviene protocollarla: in quale data è stato applicato l’aggiornamento correttivo, e nei registri del server risultano richieste verso file chiamati wp-pear-rce-flag.php o poc87902.php. La seconda domanda va fatta anche se la prima ha una buona risposta, perché la finestra di sfruttamento si è aperta lo stesso giorno della correzione. Una cautela: la fonte non indica nessuna procedura di bonifica oltre all’aggiornamento e al controllo, quindi un fornitore che oggi vi proponesse un intervento straordinario a pagamento starebbe vendendo qualcosa che nessuno ha ancora descritto. La lezione che dura oltre questa settimana riguarda la responsabilità: il sito è il luogo dell’albo pretorio e dell’amministrazione trasparente, cioè un obbligo di legge, e non può dipendere dal tempo libero di un docente. Se nel contratto con il fornitore non c’è scritto chi applica gli aggiornamenti di sicurezza ed entro quante ore, quella riga va aggiunta al prossimo rinnovo, e nel frattempo va messo per iscritto chi se ne occupa oggi.

D.R.

Fonte: The Hacker News

Fornitori

L’Antitrust boccia i tre mesi gratis offerti da Microsoft per i rincari di Microsoft 365 legati a Copilot: è una vicenda di tutela del consumatore, non tocca gli acquisti della scuola, ma spiega bene come si presenta una scelta in modo che nessuno la trovi

Con una notizia del 24 settembre 2026 firmata da Manolo De Agostini, Hardware Upgrade dà conto di una decisione dell’AGCM. All’origine c’è l’aumento di prezzo degli abbonamenti Microsoft 365 annunciato a gennaio 2025 e motivato con l’integrazione dei servizi di intelligenza artificiale Copilot e Designer; su quell’aumento l’Autorità ha aperto a giugno 2026 un procedimento nei confronti di Microsoft Ireland Operations Ltd e Microsoft S.r.l. Per chiuderlo le due società avevano offerto due impegni, cioè tre mesi di abbonamento gratuito a chi aveva declassato il proprio piano e un rafforzamento dell’informazione sulle modifiche contrattuali. L’AGCM li ha respinti entrambi, con cinque argomenti: le misure non sono idonee a rimuovere i possibili profili di scorrettezza contestati; arrivano troppo tardi nel processo decisionale del consumatore; toccano un numero estremamente limitato di consumatori; il ristoro offerto è economicamente irrisorio se confrontato con la differenza di prezzo realmente pagata e con i profitti dell’impresa; e soprattutto non incidono sul modo in cui le alternative sono state presentate, inclusa la possibilità di rinunciare alle funzioni di intelligenza artificiale. L’istruttoria continua, e dovrà stabilire se le modalità di comunicazione abbiano violato il Codice del consumo. Va tenuto fermo un punto: respingere degli impegni non equivale ad accertare un illecito, significa soltanto che l’offerta era insufficiente. Nella notizia non compaiono il numero del procedimento, la data prevista di conclusione, l’entità dell’aumento in euro o in percentuale, il numero di consumatori italiani interessati, la misura di una possibile sanzione e la replica di Microsoft; manca inoltre ogni chiarimento sul fatto che la vicenda riguardi i soli consumatori oppure anche le partite IVA e le microimprese che comprano gli stessi piani.

Il commento. Questa notizia non riguarda gli acquisti dell’istituto, e conviene dirlo in apertura invece di lasciarlo intuire. Il procedimento nasce dal Codice del consumo, che protegge chi compra da privato; la scuola compra come pubblica amministrazione, con procedure sue, e la fonte non chiarisce nemmeno se la vicenda tocchi le partite IVA e le microimprese, figurarsi un’istituzione scolastica. Nessuna segreteria deve quindi aspettarsi rimborsi o riaprire contratti per questo. Va anche detta subito un’altra cosa, perché la si troverà riassunta male: l’Antitrust non ha condannato nessuno. Ha detto che quello che l’azienda ha offerto per chiudere la faccenda non basta, e che l’istruttoria continua. Detto questo la notizia merita dieci minuti, per due motivi che in una scuola contano davvero. Il primo è il criterio che l’Autorità usa, ed è istruttivo per chiunque firmi un rinnovo: non si contesta l’aumento in sé, si contesta il modo in cui è stata presentata l’alternativa, compresa la possibilità di rinunciare alle funzioni di intelligenza artificiale, che esisteva ma era di fatto introvabile. È lo schema con cui arrivano molte modifiche ai servizi digitali che la scuola usa: una funzione nuova che compare, un piano che si rinomina, un prezzo che sale al rinnovo automatico. La domanda da fare al fornitore, quando arriva la comunicazione di modifica, è sempre la stessa e va messa per iscritto: esiste una versione del servizio senza la funzione aggiunta, a quale prezzo, ed entro quale data va comunicata la scelta. Il secondo motivo riguarda i docenti come persone. Molti pagano di tasca propria un abbonamento a un servizio che usano anche per lavoro, e loro sì che sono consumatori a tutti gli effetti: se in collegio o in una circolare si consiglia uno strumento, vale la pena ricordare che il consiglio non comporta un impegno di spesa e che la scuola non rimborsa. La lezione che dura oltre questa vicenda è che la trasparenza non si misura su quello che è scritto da qualche parte, ma su quanto è facile trovarlo nel momento in cui serve decidere. Vale per Microsoft e vale, senza infingimenti, anche per le comunicazioni che una scuola manda alle famiglie.

D.R.

Fonte: Hardware Upgrade

Strumenti

Microsoft Project Online si spegne il 30 settembre e dopo quella data i progetti non si aprono più: riguarda pochi istituti, ma chi ci ha tenuto la pianificazione di un intervento PNRR deve scaricare l’archivio adesso

La data è il 30 settembre 2026: è il giorno in cui Microsoft Project Online cessa di funzionare, secondo l’ultimo avviso pubblicato nel Message Center di Microsoft 365 e conservato nell’archivio pubblico con riferimento MC1478955. La chiusura vale ovunque, compresi i cloud governativi GCC, GCC High e DoD, e comporta che da quel momento non si possa più entrare né nei progetti né nei dati collegati all’interno del servizio. Il provvedimento è circoscritto: non tocca Project desktop, né il client desktop di Project Online, né Project Server, né Planner, che continuano a esistere. Un passaggio dell’avviso merita di essere letto con attenzione particolare, e dice che non serve alcuna azione dell’amministratore perché il pensionamento si compia: avviene da sé alla data fissata. Quanto al dopo, Microsoft propone tre direzioni diverse a seconda del bisogno, cioè Microsoft Planner, compreso in Planner e in Project Plan 3, Project Server Subscription Edition quando i portafogli di progetti sono complessi, e Project Operations per chi lavora già con Dynamics e deve rendicontare le ore e pianificare le risorse; tutte e tre comportano licenze a parte. L’avviso invita inoltre a rivolgersi subito a un partner Microsoft, ad avvertire gli utenti e a rivedere la documentazione interna. Tre cose il testo non le dice: se dopo il 30 settembre sia concesso un periodo di grazia per recuperare i dati, quanto costino le licenze delle tre alternative e che fine faccia l’abbonamento di chi continua a pagarlo senza aver migrato nulla.

Il commento. Per la grande maggioranza degli istituti questa voce è marginale, e non fingeremo il contrario: la pianificazione dei progetti in una scuola si fa con un foglio di calcolo condiviso, con il registro elettronico o con le piattaforme ministeriali, non con Project Online. Restano però alcuni casi concreti, e sono quelli che nei mesi scorsi hanno usato lo strumento per seguire un intervento del Piano nazionale di ripresa e resilienza, magari perché lo aveva proposto un consulente esterno o l’istituto capofila di una rete. Se siete in quel caso, mancano sei giorni e la cosa da fare è una sola, prima di qualunque riflessione sul sostituto: scaricare tutto. Il motivo non è la comodità, è la rendicontazione. Un progetto PNRR può essere controllato a distanza di tempo, e le date di inizio e fine delle attività, le assegnazioni, le milestone e le revisioni del cronoprogramma sono documentazione, non appunti. Esportate ogni progetto in un formato che si apra senza il servizio, un foglio di calcolo va benissimo, salvate anche la versione stampata in PDF con la data, e archiviate il tutto nel fascicolo del progetto insieme agli altri atti. La fonte non dice se esista un periodo di grazia per recuperare i dati dopo la chiusura, e proprio perché non lo dice non ci si può contare. La frase dell’avviso da leggere due volte è quella che sembra tranquillizzante: non è richiesta nessuna azione dell’amministratore perché il pensionamento avvenga. Significa che nessuno vi avviserà una seconda volta e che non ci sarà nessuna schermata di conferma: il primo ottobre semplicemente non si entra. Sulla sostituzione, invece, niente fretta e nessuna spesa decisa in questi sei giorni: le tre alternative indicate richiedono licenze separate e l’avviso non ne pubblica i prezzi, e prima di comprare vale la pena chiedersi se serva davvero un gestore di progetti o se bastino strumenti che la scuola già paga. La lezione che resta, e che vale per ogni piattaforma su cui girano dati della scuola, è che un servizio in abbonamento può essere spento dal fornitore con un avviso pubblicato in un pannello che quasi nessuno legge. Per ciascuno strumento in uso, qualcuno dovrebbe sapere come si estraggono i dati e in quale formato: è una riga da aggiungere all’inventario, e costa molto meno di una ricostruzione a posteriori.

D.R.

Fonte: Microsoft 365 Message Center

Imprese e territorio

Istat conta il 62,9 per cento di imprese con attività innovative fra il 2022 e il 2024, e tutta la crescita è delle piccole: alla scuola non dice nulla di diretto, ma è un ottimo esercizio su come non si legge una statistica

Il comunicato stampa diffuso dall’Istat il 24 settembre 2026 riguarda l’innovazione nelle imprese negli anni dal 2022 al 2024 e prende in esame l’industria e i servizi con almeno dieci addetti. La quota di imprese che nel triennio hanno svolto attività innovative arriva al 62,9 per cento, contro il valore del triennio 2020-2022, più basso di 4,3 punti. Guardando i settori, si va dal 69,2 per cento dell’industria in senso stretto al 60,7 per cento dei servizi, fino al 53,1 per cento delle costruzioni. Guardando le dimensioni, tutto l’incremento è delle piccole imprese, che guadagnano 5,1 punti, mentre le medie e le grandi perdono rispettivamente 0,6 e 0,7 punti, pur restando sopra il 70 e l’80 per cento. Il tipo di innovazione prevalente è quella di processo, dichiarata dal 57,6 per cento; quella di prodotto rimane ferma al 32,7 per cento e appena il 15,5 per cento ha messo sul mercato prodotti nuovi non solo per la propria azienda. Fra le imprese innovatrici, il 24,6 per cento dichiara di essere frenato dalla mancanza di risorse finanziarie o di personale, e il 37,2 per cento ha realizzato innovazioni con benefici ambientali, voce in arretramento di 2,8 punti fra le piccole. Due avvertenze vanno riportate insieme ai numeri. La prima è che questo comunicato non isola l’intelligenza artificiale, il cui dato sulle imprese italiane proviene da una diversa rilevazione Istat intitolata «Imprese e ICT» e aggiornata a dicembre 2025: chi mette in fila le due cifre sta accostando rilevazioni diverse. La seconda è che l’espressione «attività innovative» ha in statistica ufficiale un perimetro amministrativo molto ampio, che include l’innovazione organizzativa e quella di marketing, sicché il 62,9 per cento non va letto come sei imprese su dieci che hanno fatto qualcosa di tecnologico. Nel comunicato non figurano la numerosità campionaria e il tasso di risposta, che stanno nella nota metodologica allegata.

Il commento. Per una scuola questo comunicato non ha nessuna rilevanza diretta, e lo diciamo senza giri di parole: non cambia una circolare, non apre un finanziamento, non riguarda il personale. Lo teniamo in edizione per due ragioni, e nessuna delle due è il numero in sé. La prima è che è un esercizio quasi perfetto di lettura critica delle fonti, cioè esattamente la competenza che si chiede agli studenti e che si valuta nell’educazione civica e nelle prove di comprensione del testo. Il comunicato dice 62,9 per cento di imprese con attività innovative, e nelle prossime settimane quel numero comparirà in qualche presentazione riassunto come «sei imprese su dieci usano l’intelligenza artificiale». È falso due volte. Falso perché il comunicato non misura affatto l’intelligenza artificiale, che appartiene a un’altra rilevazione Istat ferma a dicembre 2025, e falso perché «attività innovative» è una categoria amministrativa larghissima, che comprende anche l’innovazione organizzativa e quella di marketing: un’azienda che ha rifatto il listino prezzi ci rientra. Portare in classe il comunicato originale accanto alla sua sintesi sbagliata è una lezione di un’ora che vale più di molte spiegazioni sul metodo, perché fa vedere dove nasce esattamente l’errore, e cioè nel passaggio dalla definizione al titolo. Vale per i trienni degli istituti tecnici ed economici, ma anche per un’ora di italiano al biennio. La seconda ragione riguarda chi si occupa di orientamento e dei percorsi per le competenze trasversali, e qui la spiegazione comoda da smontare è quella che si sente ripetere a ogni incontro con le famiglie, cioè che le piccole imprese siano ferme mentre le grandi corrono. In questo triennio è vero il contrario: i 5,1 punti di crescita sono tutti delle piccole, mentre medie e grandi arretrano di poco meno di un punto, semplicemente perché erano già quasi tutte innovatrici. Il tessuto in cui i vostri diplomati andranno a lavorare si sta muovendo, e si muove soprattutto sui processi, non sui prodotti nuovi, visto che solo il 15,5 per cento ha introdotto qualcosa di nuovo per il mercato. Tradotto in ciò che serve insegnare: più capacità di organizzare informazioni, descrivere una procedura e controllare un risultato, che non familiarità con l’ultimo strumento uscito.

D.R.

Fonte: Istat