UniGetUI: riduci il rischio della supply chain con gli aggiornamenti ritardati

Gli attacchi alla supply chain sono passati dall’essere un titolo occasionale a qualcosa che si avvicina a un appuntamento settimanale. “Aggiorna presto, aggiorna spesso” è stato per lungo tempo un consiglio standard nella manutenzione del software per garantire una rapida correzione delle vulnerabilità di sicurezza, ma l’ondata di recenti attacchi alla supply chain che hanno colpito librerie popolari e strumenti di sicurezza come Axios, TanStack, Trivy e Bitwarden sta rimettendo in discussione questo consiglio. Lo schema è quasi sempre lo stesso: viene rilasciata una versione malevola di un pacchetto affidabile, che finisce in migliaia di ambienti, e viene poi scoperta e rimossa entro poche ore o giorni. A quel punto, il danno è già fatto per chi ha aggiornato per primo.

Ecco perché molti stanno ora sostenendo l’adozione dei cooldown per le dipendenze, che consistono nel ritardare gli aggiornamenti di alcuni giorni dopo il rilascio, dato che i pacchetti compromessi vengono spesso individuati e rimossi nell’arco di poche ore o giorni. Molti gestori di pacchetti, come pip, npm e Cargo, supportano ora i cooldown.

Portare i cooldown in UniGetUI

Abbiamo voluto offrire la stessa protezione anche sul lato desktop, per cui abbiamo aggiunto in UniGetUI un’impostazione Età minima per gli aggiornamenti che applica questo approccio agli aggiornamenti software. Quando è disponibile un aggiornamento, UniGetUI controlla la data di pubblicazione del pacchetto e lo blocca temporaneamente se la versione è più recente della soglia impostata. Una volta raggiunta l’età minima, l’aggiornamento viene mostrato come qualsiasi altro.

Cosa può e non può fare questa impostazione

Prima di attivarla, è utile conoscere alcune limitazioni. La data di rilascio è opzionale nei pacchetti WinGet, e gestori di pacchetti come Scoop e vcpkg non forniscono la data di rilascio nei metadati del pacchetto. Quando la data di rilascio non è disponibile, UniGetUI si comporta come se l’Età minima per gli aggiornamenti fosse disattivata per quei pacchetti. Inoltre, UniGetUI verifica solo la data di pubblicazione del pacchetto di primo livello: i pacchetti compilati al momento dell’installazione potrebbero includere dipendenze più recenti rispetto all’età minima configurata.

Come attivarla

Per attivare questa configurazione, andate su Preferenze di aggiornamento dei pacchetti nelle Impostazioni e impostate Età minima per gli aggiornamenti sul numero di giorni più adatto alla vostra tolleranza al rischio. Questa impostazione può essere personalizzata per ciascun gestore di pacchetti nella sezione Gestori di pacchetti.

Considerazioni finali

Applicare rapidamente le patch resta importante, ma non è più l’unico fattore da ottimizzare. Un breve periodo di cooldown comporta un’esposizione minima alle CVE note e garantisce un livello significativo di protezione contro il tipo di attacchi che hanno dominato la scena nel 2025 e finora nel 2026. Con l’Età minima per gli aggiornamenti, potete decidere dove posizionare questo limite per il vostro ambiente, gestore di pacchetti per gestore di pacchetti, invece di essere costretti a una scelta tutto o niente tra “sempre l’ultima versione” e “revisione manuale di tutto”. Per la maggior parte dei team, anche un ritardo di due o tre giorni è sufficiente per permettere alla community di individuare una versione compromessa prima che raggiunga i vostri computer.