Come vengono gestite le vulnerabilità di Notes e Domino

Il modo migliore per giudicare la manutenzione di una piattaforma non è l’assenza di vulnerabilità, che non esiste in nessun prodotto: è come vengono gestite quando arrivano.

Un caso reale: CVE-2025-54988

Nell’ottobre 2025 è stata resa nota una vulnerabilità XML External Entity in Apache Tika, il componente che Notes e Domino usano per l’indicizzazione full-text degli allegati. È una vulnerabilità reale, ereditata da un componente open source di terze parti.

La sequenza è documentata nei bollettini HCL: prima la pubblicazione dei bollettini di sicurezza per Notes e per Domino e di un articolo con la configurazione protettiva da applicare subito, poi le correzioni.

Le correzioni sono state rilasciate su tre linee ancora supportate:

• Notes/Domino 14.5 Fix Pack 1
• Notes/Domino 14.0 Fix Pack 4 Interim Fix 1, per Windows, Linux e AIX
• Domino Server 12.0.2 Fix Pack 7 Interim Fix 1

Il dettaglio tecnico interessante è che la linea 12.0.x gira su Java 8, che Apache Tika non supporta più: servire anche quella linea ha richiesto un lavoro aggiuntivo, invece di limitare la correzione alla versione più recente. HCL ha dichiarato che gli aggiornamenti vengono forniti solo per l’ultimo fix pack di ciascuna versione di prodotto.

Due allarmi che non riguardavano il prodotto

Non tutto ciò che porta il nome Domino è un problema di Domino.

Nell’aprile 2023 IBM Security X-Force ha pubblicato una ricerca su un malware battezzato “Domino”. Non era una vulnerabilità del prodotto HCL Domino e non lo riguardava: HCL ha pubblicato una nota di chiarimento e ha chiesto la correzione dell’uso del proprio nome registrato. IBM ha poi rinominato il malware “Minodo”.

Nel gennaio 2024, quando la tecnica di SMTP smuggling ha coinvolto molti server di posta, il team di sviluppo Domino ha condotto verifiche formali: il server SMTP di Domino accetta solo la sequenza di fine dati conforme allo standard e non risulta vulnerabile a quella tecnica.

Cosa significa per chi amministra Domino

La fonte da seguire sono i bollettini di sicurezza HCL per la versione in uso, non le notizie di seconda mano. Questa pagina descrive un caso documentato, non lo stato attuale delle vulnerabilità aperte: quello lo dice solo l’elenco corrente dei bollettini HCL.