Audit delle vulnerabilità e validazione delle evidenze di sicurezza. MC CRA Engine controlla le librerie usate dal tuo software, segnala gli avvisi di sicurezza potenzialmente pertinenti alle versioni analizzate e riporta le versioni di correzione pubblicate, quando disponibili. Ogni controllo lascia una traccia che si può verificare.
Aiuta a preparare il lavoro richiesto dal Cyber Resilience Act, ma non certifica la conformità.
Sapere se una libreria usata nel proprio prodotto ha problemi di sicurezza noti, e quale versione li corregge.
Avere per ogni componente un quadro chiaro di cosa è stato trovato, cosa è escluso e perché, cosa resta da verificare.
Poter mostrare come vengono gestite le vulnerabilità dei componenti, con prove datate e legate alla versione analizzata.
Tre passaggi, dall'elenco dei componenti al rapporto.
Si parte dall'elenco delle librerie usate dal software e delle loro versioni, nel formato standard chiamato SBOM.
Per ogni libreria vengono cercati gli avvisi di sicurezza nella banca dati pubblica OSV. Oggi sono provati su casi reali i componenti Python e PHP; JavaScript è in fase di prova.
Ogni esito riporta la fonte, la data della consultazione e l'impronta digitale del dato usato, così il controllo si può rifare e confrontare.
Utilizzabili anche separatamente.
Confronta i componenti del software con gli avvisi di sicurezza pubblici e distingue ciò che è solo potenziale da ciò che riguarda davvero il prodotto, segnalando quando non è possibile stabilirlo.
Verifica che le prove raccolte siano integre, di provenienza nota e legate alla versione analizzata.
Per ogni componente analizzato: vulnerabilità note rilevate nelle fonti consultate, riferimenti alle evidenze, esclusioni motivate e versioni di correzione pubblicate, quando disponibili. Le indicazioni di aggiornamento richiedono una verifica di compatibilità e test; nessuna modifica viene applicata automaticamente.
La versione installata rientra tra quelle indicate dall'avviso: va valutato.
Le evidenze disponibili confermano che le condizioni indicate dall'avviso sono presenti nel prodotto. Non implica che sia stato eseguito uno sfruttamento.
L'avviso non riguarda la versione o la configurazione analizzata, e il motivo è scritto.
Mancano le informazioni per decidere: viene detto in chiaro, invece di dare un esito.
Risultati della prova del 28 ottobre 2026 su due librerie reali, calcolati sui dati archiviati in quella data.
Nel confronto offline su LiteLLM 1.82.3 e Symfony http-foundation 2.0.4, basato sulle risposte OSV archiviate durante la prova D2, i riferimenti alle versioni di correzione coincidono con quelli riportati da CRA Evidence in tutti i 29 gruppi di advisory confrontati.
CRA Evidence è uno strumento open source di terze parti, usato come termine di confronto; la prova D2 è il test comparativo eseguito il 28 ottobre 2026. Il risultato riguarda i riferimenti alle versioni di correzione: non dimostra l'applicabilità delle vulnerabilità né una validazione complessiva del prodotto. I 29 gruppi corrispondono alle 20 vulnerabilità di LiteLLM e alle 9 di Symfony, dopo aver raggruppato gli identificativi equivalenti.
Il Cyber Resilience Act europeo (Regolamento UE 2024/2847) chiede ai produttori di gestire le vulnerabilità durante il ciclo di vita dei prodotti. Gli obblighi di segnalazione si applicano dall'11 settembre 2026, gli obblighi principali dall'11 dicembre 2027. MC CRA Engine aiuta a preparare questo lavoro, ma non certifica la conformità.
Nota tecnica. Le versioni suggerite nella prova sono risultati riferiti ai dati archiviati il 28 ottobre 2026, non raccomandazioni aggiornate alla data di pubblicazione. La fonte consultata è la banca dati pubblica OSV.dev. MC CRA Engine analizza i componenti con avvisi pubblici, non il codice scritto dall'utente. La revisione indipendente della parte di lavoro che ha introdotto i suggerimenti di correzione non è stata completata.
Per un pilota scrivi a info@mcprojectlab.com.
