I test XAAP Android di Johnson Controls mettono alla prova le priorità di cybersecurity di CISA nonostante un basso punteggio di rischio

Johnson Controls deve risolvere un problema di protezione dei dati dopo che le linee guida di cybersecurity di CISA hanno identificato una vulnerabilità che interessa le versioni di XAAP Android precedenti alla 1.53. La debolezza archivia localmente i dati dell'applicazione senza crittografia. Il suo punteggio CVSS di 3,3 indica una gravità tecnica limitata, ma le informazioni esposte provengono dalle ispezioni dei sistemi antincendio e di sicurezza delle persone.

L'avviso non descrive un attacco remoto né un percorso verso i controlli degli edifici. Lo sfruttamento richiede accesso locale al dispositivo e una compromissione separata che consenta a un attaccante di leggere i dati archiviati. Questo ristretto percorso di attacco riduce sostanzialmente il rischio immediato, ma non rende accettabile la decisione di archiviazione sottostante.

La tensione, quindi, non contrappone Johnson Controls a un altro fornitore di tecnologie per edifici. Contrappone la promessa del prodotto di offrire informazioni di conformità centralizzate e controllate alla realtà di dati leggibili rimasti sul dispositivo di un ispettore. La versione 1.53 corregge la debolezza segnalata, ma le organizzazioni devono comunque individuare e aggiornare ogni installazione interessata.

Le linee guida di cybersecurity di CISA identificano un'esposizione locale dei dati XAAP

Il cambiamento centrale è semplice: le release di XAAP Android precedenti alla 1.53 sono ora documentate come applicazioni che archiviano localmente dati senza crittografia.

CISA ha pubblicato l'avviso sui sistemi di controllo industriale il 23 luglio 2026. L'avviso assegna al problema CVE-2026-34490 e lo classifica come archiviazione in chiaro di informazioni sensibili. L'archiviazione in chiaro significa che i dati restano leggibili nella loro forma originale anziché essere protetti tramite crittografia.

Il prodotto interessato è Johnson Controls XAAP Android precedente alla versione 1.53. CISA afferma che lo sfruttamento riuscito può esporre informazioni riservate presenti sul dispositivo. L'avviso non identifica un impatto sull'integrità dei dati o sulla disponibilità del sistema.

L'avviso XAAP ufficiale assegna alla vulnerabilità un punteggio base CVSS v3 di 3,3. CVSS, ovvero il Common Vulnerability Scoring System, sintetizza la gravità tecnica attraverso fattori quali accesso, privilegi e potenziale impatto.

Il vettore di attacco è locale anziché basato sulla rete. Un attaccante necessita di accesso fisico al dispositivo Android e di un controllo sufficiente per leggere i dati dell'applicazione. CISA afferma inoltre che tale controllo dovrebbe derivare da una compromissione separata e non correlata del dispositivo.

Una volta soddisfatte queste condizioni, non è richiesta interazione dell'utente. Tuttavia, l'attaccante necessita di privilegi a basso livello sul dispositivo e la falla non fornisce tali privilegi da sola. Questa distinzione impedisce di scambiare l'avviso per un punto di ingresso remoto.

Il vettore pubblicato è AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. In parole semplici, lo sfruttamento è locale, ha bassa complessità, richiede privilegi limitati e interessa solo la riservatezza. Il componente vulnerabile non estende l'autorità dell'attaccante a un diverso confine di sicurezza.

Questo profilo spiega il basso punteggio. Una persona su Internet non può sfruttare direttamente CVE-2026-34490 contro un servizio XAAP esposto. Il problema diventa rilevante dopo che un dispositivo viene perso, rubato, gestito impropriamente o compromesso tramite un'altra via.

Johnson Controls raccomanda di aggiornare XAAP Android alla versione 1.53 o successiva. L'azienda raccomanda inoltre di limitare l'accesso fisico, abilitare la crittografia del dispositivo e i blocchi schermo, mantenere aggiornate le release Android e utilizzare la gestione dei dispositivi mobili.

La gestione dei dispositivi mobili, comunemente abbreviata in MDM, consente a un'organizzazione di applicare criteri di sicurezza dei dispositivi da una console centrale. Tali controlli possono includere crittografia, liste di applicazioni consentite, verifiche di conformità e cancellazione remota.

L'aggiornamento è la correzione diretta perché rettifica il comportamento dell'applicazione. I controlli sui dispositivi riducono la probabilità che un attaccante raggiunga i dati archiviati, ma non sostituiscono la versione corretta dell'applicazione.

CISA colloca il prodotto nel settore della produzione critica e indica distribuzioni a livello mondiale. Queste etichette descrivono il contesto operativo del prodotto. Non significano che la vulnerabilità fornisca accesso a un processo industriale o crei un'ampia emergenza infrastrutturale.

L'avviso identifica inoltre l'Irlanda come sede centrale di Johnson Controls. Questo dettaglio aiuta a classificare il fornitore e il contesto di distribuzione, ma non modifica il calcolo del rischio tecnico.

Il compito immediato per i difensori è quindi circoscritto. Devono identificare i dispositivi Android che eseguono XAAP, verificarne la versione installata, aggiornare tutto ciò che è precedente alla 1.53 e confermare che i controlli organizzativi sui dispositivi restino attivi.

Un basso punteggio CVSS non rende sacrificabili i dati delle ispezioni

Il punteggio di 3,3 misura un percorso di sfruttamento difficile, non il valore aziendale di ogni record archiviato sul dispositivo.

Johnson Controls descrive XAAP come una piattaforma di conformità per gestori di edifici, team di struttura e ispettori. La sua applicazione mobile supporta le ispezioni sul campo, mentre l'applicazione web fornisce accesso centralizzato ai dati di sistema e ai report storici.

Gli ispettori possono utilizzare l'applicazione mobile per registrare i risultati dei test e generare report. La piattaforma supporta inoltre inventari dei dispositivi, note sulle carenze, immagini, firme elettroniche e scansione di codici a barre. La modalità offline consente di continuare il lavoro quando la connettività è ridotta o non disponibile.

Questa capacità offline crea un importante compromesso in termini di sicurezza. Un'applicazione mobile non può fornire un accesso offline significativo senza conservare localmente alcune informazioni. La questione di sicurezza è se tali record conservati rimangano crittografati e adeguatamente isolati.

CISA non elenca ogni campo esposto tramite CVE-2026-34490. Descrive ampiamente il possibile risultato come accesso a informazioni riservate dal dispositivo. I lettori non dovrebbero presumere che siano stati esposti tutti i record XAAP, le password o le credenziali degli account cloud.

Non dovrebbero nemmeno presumere che i dati archiviati localmente abbiano scarso valore. I record delle ispezioni possono descrivere asset degli edifici, condizioni delle apparecchiature, carenze, posizioni dei dispositivi o attività lavorative. Il contenuto preciso dipende dall'installazione interessata e dai dati sincronizzati su quel dispositivo.

Un basso punteggio CVSS può coesistere con una significativa sensibilità operativa perché CVSS si concentra sulla sfruttabilità e sull'impatto tecnico. Non calcola le conseguenze specifiche per l'organizzazione della diffusione di un particolare record di ispezione al di fuori dei canali autorizzati.

Per esempio, un attaccante che ottiene il dispositivo sbloccato di un tecnico sul campo potrebbe già disporre di vantaggi contestuali. Potrebbe conoscere il proprietario del dispositivo, il datore di lavoro, le strutture assegnate o lo scopo del dispositivo. File dell'applicazione leggibili potrebbero rendere più utile quell'accesso iniziale.

Questo scenario richiede comunque diverse condizioni. L'attaccante necessita del possesso o dell'accesso locale, di una compromissione riuscita del dispositivo e di dati XAAP rilevanti archiviati sul dispositivo. La vulnerabilità non fornisce autonomamente nessuno di questi prerequisiti.

Per questo le organizzazioni dovrebbero evitare due errori opposti. Trattare il problema come un'emergenza industriale sfruttabile da remoto esagera l'avviso. Liquidarlo completamente a causa del punteggio ignora la sensibilità delle operazioni sul campo.

La risposta più utile è un triage specifico per asset. I team di sicurezza dovrebbero determinare quanti dispositivi Android gestiti eseguono XAAP, quali versioni restano installate e quali informazioni tali installazioni conservano durante il lavoro offline.

Dovrebbero inoltre verificare se sono consentiti dispositivi di proprietà personale. I programmi bring-your-own-device possono indebolire l'accuratezza dell'inventario quando versioni delle applicazioni, impostazioni di crittografia e livelli di patch non sono applicati centralmente.

I programmi di cybersecurity di CISA spesso separano la gravità della vulnerabilità dalla criticità dell'asset. Una falla di minore gravità su un dispositivo che trasporta informazioni operative sensibili può meritare attenzione più rapida di un punteggio più alto su un sistema di test isolato.

La decisione dovrebbe considerare anche l'esposizione del dispositivo. Un tablet chiuso in una struttura controllata presenta un rischio diverso rispetto a un telefono trasportato tra sedi dei clienti, veicoli, hotel e luoghi pubblici.

Nessuno di questi fattori contestuali modifica il calcolo CVSS. Modificano la priorità pratica dell'organizzazione. Tale priorità determina quanto rapidamente i team verificano l'aggiornamento e se eseguono un ulteriore esame della gestione dei dati locali.

L'avviso fornisce ai difensori informazioni sufficienti per agire senza creare allarme. Identifica le versioni interessate, l'impatto sulla riservatezza, la posizione richiesta dell'attaccante e la release corretta.

Restano invece assenti un inventario dettagliato dei campi archiviati o prove di sfruttamento. Le organizzazioni non devono colmare queste lacune con speculazioni. Dovrebbero rispondervi attraverso il proprio inventario applicativo, i controlli sui dispositivi e i canali di supporto del fornitore.

Il vero conflitto è tra controllo centralizzato e dati locali in chiaro

XAAP promette un accesso controllato a informazioni di conformità centralizzate, eppure le release Android vulnerabili lasciavano alcuni dati dell'applicazione leggibili su un endpoint.

Johnson Controls afferma che XAAP fornisce impostazioni di autorizzazione per singoli edifici, sedi, tipi di ispezione e dati di sistema. La piattaforma presenta inoltre il proprio repository cloud come fonte condivisa per report e registri di conformità.

Questi controlli lato server sono importanti quando gli utenti accedono alle informazioni attraverso flussi di lavoro dell'applicazione supportati. Non possono proteggere una copia locale dopo che un attaccante ha compromesso l'endpoint e aggirato il normale confine di accesso dell'applicazione.

Questo è il capovolgimento centrale dell'avviso. Un'organizzazione può configurare con cura le autorizzazioni degli account pur perdendo il controllo delle informazioni copiate su un dispositivo scarsamente protetto. L'autorizzazione cloud e la protezione dell'archiviazione sugli endpoint risolvono parti diverse dello stesso problema.

La falla illustra inoltre perché le applicazioni mobili utilizzate in ambienti operativi meritano una valutazione separata. Una piattaforma web può fare grande affidamento sui controlli di accesso lato server. Un'applicazione capace di funzionare offline deve inoltre proteggere i dati dopo che lasciano il server.

Qui il meccanismo pertinente è la crittografia dei dati a riposo. Trasforma le informazioni archiviate in una forma illeggibile, a meno che il dispositivo o l'applicazione non fornisca la necessaria chiave crittografica. Implementazioni efficaci richiedono anche una solida gestione delle chiavi, non soltanto l'etichetta di un file crittografato.

Android offre crittografia della piattaforma e sandboxing delle applicazioni, che separa i file di un'app dal normale accesso da parte di altre app. Queste protezioni aumentano la barriera, ma un dispositivo compromesso o configurato impropriamente può indebolire le ipotesi su cui si basano.

La raccomandazione di Johnson Controls di abilitare la crittografia del dispositivo integra quindi la correzione dell'applicazione. Aggiunge un ulteriore livello difensivo se un dispositivo scompare o un attaccante ne ottiene il possesso fisico. Un blocco schermo ritarda analogamente l'accesso occasionale, ma non sostituisce l'archiviazione protetta dell'applicazione.

MDM aggiunge applicazione e visibilità. Gli amministratori della sicurezza possono imporre la crittografia, rifiutare dispositivi obsoleti, controllare le applicazioni installate e cancellare da remoto i dati dell'organizzazione. A seconda della distribuzione, MDM può anche indicare quali versioni di XAAP restano attive.

L’aggiornamento dell’applicazione rimane il controllo più diretto perché affronta la debolezza identificata. Se un’organizzazione si affida esclusivamente alla crittografia del dispositivo, l’esposizione a livello applicativo resta dipendente dalla continua integrità del sistema operativo.

Vale anche il contrario. L’aggiornamento di XAAP non elimina la necessità di una piattaforma Android gestita e aggiornata. CISA descrive esplicitamente lo sfruttamento come dipendente da una compromissione separata, quindi gli aggressori continuano a trarre vantaggio da dispositivi con sistemi operativi non aggiornati o impostazioni di blocco deboli.

Piattaforme concorrenti per le tecnologie edilizie, fornite da aziende come Siemens e Honeywell, affrontano la stessa tensione architetturale quando i lavoratori mobili necessitano di registri offline. Questo confronto non implica che le loro applicazioni condividano CVE-2026-34490. Riflette un problema comune di sicurezza degli endpoint nel software per i servizi sul campo.

Le applicazioni utilizzate per le ispezioni devono bilanciare disponibilità e minimizzazione dei dati. Conservare localmente registri estesi migliora la continuità negli edifici con connettività scarsa. Conservare meno registri riduce la quantità di dati esposti dopo la compromissione di un dispositivo.

I team di sicurezza possono mettere alla prova questo equilibrio senza riprogettare il prodotto. Possono chiedersi per quanto tempo i dati offline restino memorizzati nella cache, se gli utenti possano rimuovere il lavoro completato e se la cancellazione remota raggiunga l’archiviazione locale dell’applicazione.

Possono inoltre distinguere tra comodità per il lavoratore e necessità aziendale. Un tecnico può aver bisogno offline di un pacchetto di ispezione attivo, ma non di anni di report storici relativi a ogni proprietà assegnata. La minimizzazione dei dati limita il valore di un endpoint compromesso.

L’avviso pubblicato non indica se XAAP conservasse informazioni eccessive né per quanto tempo i dati restassero presenti. Stabilisce soltanto che i dati dell’applicazione venivano archiviati localmente senza crittografia nelle versioni interessate.

Questa conclusione circoscritta mette comunque in discussione un presupposto più ampio. Le piattaforme centralizzate non creano un rischio centralizzato quando i loro client mobili replicano informazioni su molti endpoint. Ogni endpoint diventa un ulteriore luogo in cui i controlli di accesso, archiviazione e cancellazione devono funzionare.

Per i clienti Johnson Controls, quindi, l’avversario pratico non è un altro fornitore. È il divario tra autorizzazioni amministrate centralmente e dati recuperabili localmente. Colmare tale divario richiede sia la versione 1.53 sia una gestione rigorosa degli endpoint.

Cosa non stabilisce l’avviso

CVE-2026-34490 è una debolezza di archiviazione confermata, ma le prove pubbliche non supportano affermazioni su sfruttamento remoto, controllo degli edifici o attacchi attivi.

La prima incertezza riguarda il contenuto dei file esposti. CISA afferma che un aggressore potrebbe ottenere informazioni riservate. Non pubblica un elenco campo per campo dei record archiviati senza crittografia.

Questa omissione è rilevante perché XAAP supporta diversi flussi di lavoro. Johnson Controls elenca tra le funzionalità della piattaforma risultati delle ispezioni, inventari dei dispositivi, note, immagini, difetti, firme e report. L’avviso non afferma che ogni tipo di contenuto supportato fosse recuperabile.

La seconda incertezza riguarda lo sfruttamento in natura. L’avviso pubblico descrive lo sfruttamento riuscito come possibile in determinate condizioni locali. Non afferma che gli aggressori abbiano utilizzato CVE-2026-34490 contro i clienti.

Il catalogo degli avvisi di CISA distingue la divulgazione ordinaria delle vulnerabilità dalle prove di sfruttamento attivo. La pubblicazione nel canale dedicato ai sistemi di controllo industriale non dovrebbe essere considerata prova di una campagna.

La terza incertezza riguarda la compromissione separata richiesta dallo scenario di attacco. L’avviso non identifica una vulnerabilità Android complementare né fornisce una catena di exploit. Indica che il dispositivo deve essere compromesso tramite una falla non correlata.

Questa formulazione limita nettamente ciò che i difensori dovrebbero dedurre. CVE-2026-34490 espone dati dopo il fallimento delle protezioni locali. Non viene descritta come il meccanismo che aggira inizialmente tali protezioni.

La quarta incertezza riguarda la scala delle implementazioni interessate. CISA indica una distribuzione mondiale, ma non fornisce un numero di installazioni, il totale dei clienti o il numero di dispositivi con versioni precedenti alla 1.53. Nessuna stima del rischio credibile può trasformare “mondiale” in una cifra specifica di esposizione.

La quinta incertezza è l’età delle installazioni vulnerabili. La versione 1.53 è la soglia di correzione, ma le organizzazioni possono aggiornare a velocità diverse. I dispositivi aziendali gestiti potrebbero già eseguire versioni più recenti, mentre i dispositivi non gestiti o con connettività intermittente possono rimanere indietro.

Le pagine pubbliche degli store mobili possono fornire indizi sulle versioni correnti, ma non rivelano lo stato delle implementazioni aziendali. Inoltre, non possono confermare se ogni cliente utilizzi lo stesso canale di distribuzione o la medesima politica di aggiornamento.

Un’altra fonte di confusione è la connessione opzionale di XAAP ai pannelli antincendio supportati. Johnson Controls afferma che XAAP Gateway può recuperare informazioni dal pannello, visualizzare allarmi e inviare comandi supportati tramite l’applicazione mobile.

Questa capacità aumenta l’importanza di proteggere i dispositivi autorizzati. Tuttavia, CISA non afferma che CVE-2026-34490 abiliti comandi ai pannelli, modifichi i risultati delle ispezioni o fornisca accesso al gateway. L’impatto segnalato è limitato alla riservatezza.

La distinzione tra esposizione di informazioni e accesso al controllo deve restare esplicita. Un record locale leggibile può comunque creare rischi, ma non equivale a modificare un pannello antincendio o sopprimere un allarme.

Anche il punteggio basso richiede analoga cautela. Non dimostra che lo sfruttamento sia innocuo, né significa che ogni organizzazione possa rinviare la correzione. Registra il percorso di accesso limitato e l’impatto sulla sola riservatezza descritti dall’avviso.

I team di sicurezza dovrebbero evitare di presentare certezze non supportate in entrambe le direzioni. Non possono affermare che siano state esposte credenziali sensibili a meno che Johnson Controls non confermi tale dettaglio. Non possono nemmeno garantire che i dati conservati siano privi di valore operativo.

L’approccio corretto consiste nel preservare le prove durante l’aggiornamento. Gli amministratori possono registrare il numero di dispositivi interessati, le versioni installate, lo stato della crittografia, la conformità MDM e qualsiasi cronologia di dispositivi smarriti o compromessi.

Se un’organizzazione identifica un dispositivo che era sia vulnerabile sia precedentemente compromesso, la revisione dovrebbe diventare specifica dell’incidente. I team potrebbero dover determinare quali file fossero presenti localmente, quali strutture fossero assegnate e se le credenziali a valle richiedano una rotazione.

Questa risposta segue le prove. Non presume che ogni installazione vulnerabile abbia subito accessi non autorizzati. Riserva un esame più approfondito ai dispositivi per i quali si siano effettivamente verificate le condizioni preliminari indicate dall’avviso.

Le linee guida di cybersicurezza di CISA sono più utili quando le organizzazioni preservano queste distinzioni. Gravità, esposizione, valore della risorsa e prove di compromissione sono fattori distinti. Combinarli produce una risposta difendibile, invece del panico o della trascuratezza.

Tre segnali mostreranno se l’aggiornamento ha chiuso il rischio

La fase successiva dipende dalle prove di distribuzione, dai chiarimenti tecnici e da qualsiasi segnale che la debolezza locale sia entrata a far parte di una reale catena di attacco.

Il primo segnale è l’adozione di XAAP Android 1.53 o versioni successive. Le organizzazioni dovrebbero usare l’inventario MDM, i registri di gestione delle applicazioni o controlli diretti sui dispositivi per identificare le versioni ancora inferiori alla soglia corretta.

Un risultato completo significa che ogni installazione gestita è passata oltre l’intervallo vulnerabile. Un risultato incompleto significa che il rischio persiste, indipendentemente dal fatto che la versione corretta sia disponibile in uno store pubblico di applicazioni.

Questo è particolarmente importante per i dispositivi che restano offline per lunghi periodi. Un’applicazione progettata per attività di ispezione con bassa connettività potrebbe non ricevere aggiornamenti con la stessa rapidità di un’applicazione d’ufficio utilizzata su hardware continuamente connesso.

Gli amministratori non dovrebbero presumere che gli aggiornamenti automatici siano riusciti. Dovrebbero verificare la versione installata e l’ultimo check-in riuscito del dispositivo. I dispositivi non supportati o non gestiti dovrebbero ricevere attenzione separata.

Il secondo segnale è costituito da ulteriori dettagli tecnici da Johnson Controls o CISA. Chiarimenti utili identificherebbero quali categorie di dati dell’applicazione fossero archiviate in chiaro, quando le copie locali venissero rimosse e se la versione 1.53 crittografi i record memorizzati nella cache già esistenti.

Queste informazioni rafforzerebbero le valutazioni del rischio perché le organizzazioni potrebbero confrontare i tipi di dati interessati con le proprie assegnazioni e politiche di conservazione. Chiarirebbero inoltre se l’installazione dell’aggiornamento risolva automaticamente i file locali più vecchi.

Johnson Controls gestisce un centro per gli avvisi di sicurezza per le informazioni sulle vulnerabilità dei prodotti. I clienti dovrebbero monitorare quel canale insieme al record CISA per revisioni o indicazioni specifiche del fornitore.

Un avviso rivisto potrebbe aumentare o ridurre la preoccupazione. Le prove che fossero interessate credenziali o configurazioni dettagliate dei siti aumenterebbero la potenziale conseguenza. La conferma che fossero coinvolti soltanto record limitati e temporanei la ridurrebbe.

Il terzo segnale è la prova di sfruttamento o di una catena di attacco concreta. Potrebbe includere rapporti di incidenti che coinvolgono dispositivi di ispezione rubati, malware con accesso all’archiviazione di XAAP o una falla Android complementare che soddisfi il requisito di compromissione separata indicato dall’avviso.

Nessuna prova di questo tipo compare nel materiale pubblicato esaminato per questo articolo. Finché non emergerà, i difensori dovrebbero trattare CVE-2026-34490 come un’esposizione locale di informazioni con prerequisiti significativi.

Se dovessero emergere prove di sfruttamento, la risposta cambierebbe. Le organizzazioni dovrebbero andare oltre la gestione ordinaria delle patch e ispezionare gli indicatori di compromissione dei dispositivi, l’attività degli account, i record sincronizzati e le assegnazioni delle strutture interessate.

L’assenza di sfruttamento segnalato non giustificherebbe lasciare i dispositivi senza patch. La versione 1.53 è disponibile e l’aggiornamento elimina una debolezza nota. Attendere crea rischio senza offrire un vantaggio operativo.

Le organizzazioni possono agire ora attraverso una sequenza concisa. Inventariare le installazioni XAAP Android, aggiornare i dispositivi interessati, confermare la crittografia della piattaforma, imporre blocchi schermo, rivedere i livelli di patch Android e verificare la copertura della cancellazione remota.

Dovrebbero poi esaminare le eccezioni. Tablet condivisi, telefoni di proprietà dei contraenti, dispositivi sostitutivi e hardware esterno alla piattaforma MDM sono luoghi comuni in cui gli inventari delle applicazioni diventano incompleti.

I team dovrebbero inoltre documentare chi possiede la risposta. Gli amministratori delle applicazioni possono conoscere la distribuzione di XAAP, mentre gli amministratori della sicurezza controllano MDM e le politiche degli endpoint. I team delle strutture comprendono quali registri di ispezione abbiano la maggiore sensibilità operativa.

Riunire questi gruppi impedisce che il problema cada tra software, sicurezza e operazioni edilizie. La vulnerabilità attraversa tutti e tre gli ambiti, anche se la sua gravità tecnica resta bassa.

La lezione più ampia va oltre Johnson Controls. Le applicazioni mobili utilizzate nel lavoro operativo creano archivi di dati locali ogni volta che supportano accesso offline, caching, acquisizione di contenuti multimediali o generazione di report.

Le organizzazioni dovrebbero chiedere ai fornitori come tali archivi vengano crittografati, minimizzati e cancellati. Dovrebbero inoltre verificare se le politiche di conformità dei dispositivi restino efficaci dopo che i lavoratori perdono la connettività.

Per i clienti XAAP, tuttavia, la decisione immediata non richiede un nuovo quadro. Le linee guida di cybersicurezza di CISA identificano l’intervallo interessato e la versione corretta. L’azione responsabile consiste nel verificare la versione 1.53 o successiva su ogni dispositivo Android pertinente.

La domanda rimanente è operativa: la vostra organizzazione può dimostrare che tutte le installazioni XAAP siano aggiornate, crittografate, gestite e contabilizzate? In caso contrario, iniziate dai dispositivi che contengono attività di ispezione attive e colmate il divario dell’inventario prima che il prossimo telefono smarrito trasformi un punteggio basso in una divulgazione reale.