Home Assistant 2026.11 e attacchi ai frigo dei negozi: digest IoT n. 8

Questo numero esce oggi, mercoledì 4 novembre, un giorno prima del solito giovedì, così che il sito sia aggiornato a oggi; copre le notizie dal 30 ottobre al 4 novembre.

Home Assistant 2026.11 integra un marketplace, mostra le telecamere Matter e rinomina tutto

Il 4 novembre Home Assistant ha rilasciato la versione 2026.11, che il post di rilascio definisce “la più grande release che abbiamo mai pubblicato, di gran lunga”. La novità principale è un Marketplace, nelle impostazioni, che porta dentro Home Assistant lo HACS, lo store della comunità da cui per anni gli utenti hanno installato integrazioni di terze parti, schede per la dashboard e temi. Le installazioni HACS esistenti migrano da sole, l’installer separato di HACS si ferma con questa release, e per installare o aggiornare qualcosa dal Marketplace bisogna accettare un avviso sui rischi del software fatto dalla comunità. Le telecamere conformi a Matter 1.5 ora mostrano il video in diretta via WebRTC e le istantanee, purché il server Matter sia abbastanza recente, e un’anteprima nei Labs aggiunge l’audio bidirezionale, un pulsante per parlare attraverso le telecamere Matter e Reolink che per ora funziona solo su HTTPS. Zigbee guadagna il supporto a Green Power, la funzione Zigbee per i dispositivi senza batteria come gli interruttori Friends of Hue, e i gruppi Zigbee diventano dispositivi a sé. Una nuova pagina LoRaWAN collega ChirpStack e The Things Network; i dispositivi ESPHome possono condividere una porta seriale sulla rete; backup e contenuti multimediali si possono tenere su un disco interno o USB; arrivano 38 integrazioni nuove e 19 di quelle esistenti raggiungono il grado di qualità più alto, “platinum”. Sul fronte AI, un assistente collegato tramite la LLM API di Home Assistant poteva già cercare dispositivi e automazioni e leggere log e statistiche; ora può anche elencare e richiamare le azioni e ricaricare le integrazioni, quindi può modificare una configurazione e non solo leggerla. L’accesso ai log richiede un account amministratore, e il server MCP può essere impostato per esporre solo strumenti in sola lettura.

Il cambiamento che la maggior parte degli utenti noterà per primo era stato spiegato il giorno prima. Il 3 novembre il progetto ha descritto il nuovo modello dei nomi, che ha richiesto “più di quattro anni”: ogni dispositivo ed entità prende il nome di ciò che è, e Home Assistant aggiunge il contesto, come l’area e il nome del dispositivo, dove una schermata ne ha bisogno. I dispositivi complessi si dividono in dispositivi figli, così una ciabatta può avere un figlio per ogni presa, ciascuno con il suo nome e la sua area. Gli ID delle entità, le automazioni, gli script, le scene e le dashboard “continueranno a funzionare”, e i vecchi nomi diventano alias, in modo che i comandi vocali ad Assist, Alexa e Google Assistant funzionino ancora. Una prima versione era stata ritirata poco prima della release 2026.4, dopo i commenti dei beta tester, tra cui l’osservazione che la terminologia dei nomi era confusa, e ci sono voluti “alcuni mesi in più” per rivederla. Alcuni nomi migrati sembreranno strani all’inizio; l’esempio dato è un interruttore chiamato “Macchina del caffè” su un dispositivo chiamato “Presa smart 3”, che ora compare come “Presa smart 3 Macchina del caffè” finché il dispositivo non viene rinominato. Z-Wave, MQTT ed ESPHome supportano i dispositivi figli da questa release; Matter e ZHA sono “in lavorazione”.

Perché conta: Home Assistant è la piattaforma di riferimento per chi vuole una smart home che funzioni senza un account cloud, e tre dei cambiamenti di questo mese allargano il pubblico a cui si rivolge. Portare lo store dentro il prodotto toglie un’installazione separata, e l’avviso rende espliciti i rischi dei progetti della comunità prima di installarli; non ne certifica la sicurezza. Le telecamere Matter 1.5 mettono Home Assistant tra le prime piattaforme in cui una telecamera di una marca trasmette il video a un controller di un’altra attraverso lo standard, che è la promessa di Matter e, per una telecamera, l’argomento di privacy a favore di tenere il video in casa. Il cambio dei nomi è il tipo di lavoro che rende un sistema usabile dal resto della famiglia, il pubblico da cui il progetto ha detto la settimana scorsa di voler sentire. L’unica novità da maneggiare con cura è l’assistente AI che ora può richiamare azioni e ricaricare integrazioni: l’opzione di sola lettura esiste per un motivo, e un agente AI che può agire in casa tua dovrebbe avere il minimo accesso necessario. Home Assistant spiegato e Matter in Home Assistant, entrambi nuovi sul sito questa settimana, coprono le basi; ZHA o Zigbee2MQTT spiega i due modi di gestire i dispositivi Zigbee toccati dalla release; LoRaWAN spiegato descrive la rete dietro la nuova pagina.

Gli enti UE segnalano una nuova ondata di attacchi ai controller dei frigoriferi dei negozi

Il 4 novembre la DG CNECT della Commissione europea, ENISA, il Centro europeo per la lotta alla criminalità informatica di Europol, la rete dei CSIRT dell’UE ed EU-CyCLONe, la rete delle autorità nazionali per le crisi informatiche, hanno diffuso una dichiarazione congiunta sugli incidenti informatici nei sistemi di refrigerazione. “Dall’11 ottobre 2026 diversi sistemi di refrigerazione commerciale e dispositivi simili sono stati colpiti” in vari Stati membri, dice il testo, e “una nuova ondata di incidenti” si è verificata l’1 e il 2 novembre. Gli enti consigliano alle organizzazioni “di agire subito per ridurre l’esposizione dei sistemi interessati” e di seguire gli avvisi del proprio CSIRT nazionale; ENISA ha pubblicato lo stesso testo e tiene su GitHub la raccolta degli avvisi nazionali. La dichiarazione non nomina paesi, produttori né numero di vittime. Ricorda però le regole che ora si applicano: dall’11 settembre 2026 i produttori devono segnalare gli incidenti gravi e le vulnerabilità sfruttate attivamente attraverso la piattaforma unica di segnalazione del Cyber Resilience Act; i requisiti principali del CRA si applicano dall’11 dicembre 2027; e i soggetti coperti dalla direttiva NIS2 devono gestire i propri rischi informatici e segnalare gli incidenti significativi alla propria autorità nazionale.

Il quadro tecnico arriva dalla Francia. Il CERT-FR, la squadra di risposta agli incidenti del governo francese, ha emesso un’allerta il 12 ottobre, aggiornata il 16 ottobre, su “numerose compromissioni” di controller remoti per impianti di refrigerazione: le serie Danfoss AK-SM e AK-SC e i supervisori xweb di Copeland e Dixell. Non dice come si è entrati nei controller. Dice che, in generale, esporre un’interfaccia di gestione su internet è “contrario alle buone pratiche”, e che le campagne di attacco contro queste apparecchiature “sono probabilmente ancora in corso”. I suoi consigli, per le unità compromesse e per quelle intatte: togliere i controller da internet, permettere l’accesso solo tramite VPN o rete protetta, aggiornare il firmware, impostare le unità Danfoss in modalità di sicurezza Strict e assicurarsi che le password predefinite siano state cambiate. Sulle unità intatte va controllata anche tutta la configurazione, compresi gli orari di sbrinamento. Per un’unità Danfoss compromessa aggiunge un riavvio o un ripristino di fabbrica, poi una nuova configurazione, con un avvertimento: tenere esposta su internet un’apparecchiatura che non riceve più correzioni di sicurezza significa “una probabilità molto alta” di compromissione, e il solo ripristino di fabbrica “è insufficiente”. Aggiornamento del 6 novembre: il 5 novembre il direttore generale dell’Agenzia per la cybersicurezza nazionale (ACN) ha detto a una commissione parlamentare che gli attacchi sono stati facilitati da “software non aggiornati o non più aggiornabili” e dalla “pratica della remotizzazione” di questi frigo, ha riferito l’ANSA.

Perché conta: il controller della refrigerazione di un supermercato è tecnologia operativa, ma i rischi indicati dall’allerta francese sono quelli dell’IoT di consumo su scala più grande: un’interfaccia web lasciata aperta su internet, credenziali predefinite che forse nessuno ha mai cambiato e modelli abbastanza vecchi da essere fuori supporto. I rimedi dell’allerta francese sono quelli che ogni guida di questo sito dà per una telecamera o un termostato, e l’avvertimento sulla fine del supporto è il più duro, perché un controller che non riceve correzioni non si può rendere sicuro con un ripristino; va isolato o sostituito, come spiega Quando i dispositivi smart perdono il supporto. La dichiarazione congiunta richiama anche l’obbligo di segnalazione del Cyber Resilience Act durante un incidente in corso: da settembre un produttore che scopre che un difetto del suo prodotto viene sfruttato deve segnalarlo attraverso la piattaforma unica che la dichiarazione nomina. I fornitori di apparecchiature installate in negozi e stabilimenti dovrebbero dare per scontato che quel conto alla rovescia è partito. Segmentazione della rete descrive la separazione che l’allerta chiede, e La normativa sulla sicurezza IoT spiega che cosa richiedono il CRA e la direttiva NIS2 e da quando.

Il Bluetooth SIG adotta l’High Data Throughput, una settimana dopo la dimostrazione su chip di Nordic

Il 4 novembre il Bluetooth Special Interest Group ha annunciato l’adozione del Bluetooth High Data Throughput (HDT), “una funzione opzionale della Bluetooth Core 7.0 adottata di recente”. HDT aggiunge un nuovo livello fisico con quelli che il SIG chiama “schemi di modulazione robusti” e porta la velocità massima a 7,5 Mbps, “quasi quattro volte quella del Bluetooth LE 2M PHY”, finora la modalità più veloce del Bluetooth Low Energy. Il SIG elenca quattro vantaggi: trasferimenti più rapidi, più capacità nello stesso spettro, migliore efficienza energetica perché la radio finisce prima e torna in uno stato a basso consumo, e maggiore affidabilità. La prima applicazione di punta è l’audio wireless di fascia alta, con suono lossless e ad alta risoluzione e surround multicanale, e “dovrebbe uscire nel 2027”; il SIG cita anche la realtà estesa, i dispositivi con AI, l’automazione e il monitoraggio industriale e i dispositivi di tutti i giorni come wearable e prodotti smart home, per i quali parla di aggiornamenti del firmware più rapidi. Un post sul blog che accompagna l’annuncio dà le stesse cifre e nessun’altra: in nessuno dei due testi compaiono larghezza di canale, lunghezza dei pacchetti o nome della modulazione. Le dichiarazioni arrivano dalla divisione semiconduttori di Samsung e da Nordic Semiconductor, il cui Øyvind Strøm cita come esempi gli smartwatch che sincronizzano i dati di allenamento e gli aggiornamenti del firmware nella smart home.

Perché conta: nel numero 7 Nordic diceva di aver dimostrato HDT su silicio e si aspettava che il SIG lo pubblicasse “alla fine del 2026”; ci sono voluti sei giorni. La differenza tra una dimostrazione e una specifica adottata è che ora i produttori di chip possono progettare, testare e certificare su un testo fisso, quindi la domanda passa da “se” a “quando”. La data del 2027 per l’audio dà il ritmo realistico: un guadagno di velocità richiede entrambi i capi del collegamento, e i telefoni con la Core 7.0 arriveranno prima delle cuffie che la usano. Per l’IoT la parte interessante non è l’audio ma la semplice aritmetica di un’immagine firmware: a quasi quattro volte la velocità, un aggiornamento OTA via Bluetooth Low Energy richiede circa un quarto del tempo e della batteria, e un prodotto che montava una radio Wi-Fi solo per gli aggiornamenti potrebbe farne a meno. La cautela è quella che lo stesso Bluetooth SIG lascia intendere chiamando la funzione opzionale: non tutti i chip Core 7.0 l’avranno. Bluetooth Low Energy per l’IoT spiega come funziona oggi la radio.

Nordic annuncia l’nRF71, un chip Wi-Fi 6 con Thread e un’unità neurale per i dispositivi a batteria

Il 3 novembre Nordic Semiconductor ha annunciato la serie nRF71, una famiglia di system-on-chip che riuniscono su un solo chip Wi-Fi, Bluetooth LE, Thread e machine learning sul dispositivo. I primi due componenti sono l’nRF7120, con Wi-Fi 6 dual-band, e l’nRF7120E, con Wi-Fi 6E tri-band e un’unità di elaborazione neurale integrata, Axon, che secondo Nordic esegue i modelli da 10 a 17 volte più in fretta del solo processore del chip. Entrambi hanno un Arm Cortex-M33 a 256 MHz, 4 MB di memoria non volatile e 1 MB di RAM per l’applicazione, e affiancano alla radio Wi-Fi la radio multiprotocollo a 2,4 GHz della serie nRF54 di Nordic; le due radio possono ricevere nello stesso momento, quindi un dispositivo può restare sul Wi-Fi mentre ascolta il Bluetooth LE o Thread. Nordic dice che la serie consuma in standby “fino a 20 volte” meno dei suoi attuali chip Wi-Fi di accompagnamento nRF70, senza dare valori misurati né condizioni di prova. Indica come praticabili a batteria il riconoscimento di parole chiave, il rilevamento delle anomalie e la classificazione di immagini, con modelli del suo software Neuton aggiornati via etere attraverso nRF Cloud, e punta a hub smart home a batteria, bridge Matter e border router Thread, serrature e centraline di allarme Matter, wearable e sensori industriali. I chip sono in campionatura presso clienti selezionati; Nordic li mostrerà, insieme a un modulo, a electronica a Monaco di Baviera la settimana prossima.

Perché conta: il Wi-Fi è sempre stato la radio da evitare in un dispositivo a batteria, perché tenere viva un’associazione costa più di quanto un nodo Zigbee o Thread spenda in un giorno; un chip progettato prima di tutto per l’autonomia, da un’azienda che vive di Bluetooth LE, è un tentativo di cambiare questo stato di cose. La combinazione conta quanto la cifra sui consumi. Un dispositivo con Wi-Fi e Thread su un solo chip può fare da border router, il ponte tra una mesh Thread e la rete di casa che oggi di solito vive in uno speaker o in un hub alimentato dalla presa; la lista dei target di Nordic dice che il piano è questo. Mette inoltre Nordic in concorrenza diretta con Espressif, i cui ESP32-C6 e C5 combinano già Wi-Fi 6 e una radio 802.15.4 in componenti a basso costo, come spiega Scegliere un ESP32. Due cautele: la promessa delle venti volte non ha ancora numeri dietro, e “in campionatura presso clienti selezionati” significa che i prodotti finiti sono ancora lontani. Matter su Thread o Matter su Wi-Fi spiega perché un dispositivo dovrebbe volere entrambe le radio, e le voci edge AI e NPU spiegano a cosa serve l’unità neurale.

Raspberry Pi alza il prezzo delle schede da 16 GB e dà la colpa alla DRAM

Il 2 novembre l’amministratore delegato di Raspberry Pi, Eben Upton, ha annunciato che “da oggi alziamo di 80 dollari il prezzo della variante da 16 GB di Raspberry Pi 5, a 385 dollari”, e che le varianti da 16 GB del Compute Module 5, la versione della scheda che i produttori saldano nel proprio hardware, salgono di 40 dollari. Il prezzo del Raspberry Pi 500+, il computer-tastiera con 16 GB, resta fermo. Il motivo indicato è “la mancanza di fonti alternative di DRAM da 16 GB, aggravata da altre carenze di componenti in corso”; sullo sfondo c’è il rincaro della memoria negli ultimi due anni, e il post dice che anche altre aziende del settore hanno alzato i prezzi. Upton definisce la situazione della memoria “difficile ma in definitiva temporanea” e dice che l’azienda conta di annullare gli aumenti quando i costi scenderanno. Nel frattempo suggerisce le varianti con meno memoria o i modelli precedenti, oppure di far consumare meno memoria al software, e avverte di comprare dai rivenditori autorizzati ai prezzi ufficiali invece di pagare prezzi gonfiati altrove.

Perché conta: il Raspberry Pi 5 da 16 GB è la scheda che si compra per far girare un modello linguistico in locale, e Un LLM locale su Raspberry Pi, nuovo questa settimana, spiega perché è la memoria, non la velocità del processore, a decidere quali modelli ci stanno. Al nuovo prezzo i conti di un piccolo server di casa cambiano, e per la maggior parte dei compiti IoT non valevano comunque: un gateway che fa girare un broker e qualche radio se la cava con molto meno, come mostra Raspberry Pi come gateway IoT, e molti compiti stanno meglio su un microcontrollore fin dall’inizio (ESP32, Arduino o Raspberry Pi). L’effetto più serio è sulle aziende che hanno progettato un prodotto attorno al Compute Module da 16 GB; un system-on-module si sceglie per una lunga vita produttiva, e un aumento di 40 dollari ricade su ogni unità. Il post dice anche, senza giri di parole, che due anni di rincari della memoria sono arrivati alla distinta dei componenti dei piccoli dispositivi.

La Commissione lancia una piattaforma da 525 milioni di euro per le start-up europee del chip design

Il 4 novembre la Commissione europea ha lanciato la European Chip Design Platform, un’iniziativa del Chips Act dell’UE che “mobiliterà 525 milioni di euro di investimenti” a sostegno delle nuove aziende di progettazione di chip. La piattaforma offre strumenti di progettazione, servizi di supporto alla progettazione, blocchi di proprietà intellettuale e accesso alla capacità produttiva; la vicepresidente esecutiva Henna Virkkunen ha detto che “dà alle nostre start-up e PMI dei chip il sostegno di cui hanno bisogno per superare le barriere”. La Commissione osserva che le aziende europee di chip design “rappresentano oggi meno dell’1% dei ricavi mondiali di questo segmento”. Il comunicato stampa completo indica 285 milioni di euro dal bilancio dell’UE e 240 milioni dagli Stati partecipanti alla Chips Joint Undertaking; 440 milioni vanno in sovvenzioni (fino a 100.000 euro per le start-up alle prime fasi, 16 milioni per quelle più sviluppate) e 85 milioni all’infrastruttura, ai servizi e agli strumenti di progettazione open source della piattaforma. Venti start-up sono già nei suoi programmi di sviluppo imprenditoriale.

Perché conta: i microcontrollori e i system-on-chip radio dentro i dispositivi connessi sono progettati da una manciata di aziende, e per una nuova la barriera non è tanto la fabbrica quanto gli strumenti di progettazione, le cui licenze costano più di quanto una start-up possa sostenere, e i blocchi collaudati (una radio, un core di processore, un modulo di sicurezza) che altrimenti dovrebbe progettare da sé. È quello che la piattaforma offre, quindi mira al collo di bottiglia giusto; se 525 milioni di euro bastino a far crescere un’azienda capace di competere con i fornitori di questo numero è una domanda per il 2030, non per questa settimana. Insieme alla sovvenzione di 319 milioni di euro per lo stabilimento Infineon di Villach nel numero 7, mostra il Chips Act speso ai due capi della catena, produzione e progettazione.

In breve

• 30 ottobre: Arduino ha raccontato come Techno Sky, la società di ingegneria di ENAV, il gestore italiano della navigazione aerea, ha costruito per le torri di controllo digitali di ENAV un sistema di segnalazione visiva delle emergenze intorno a un solo Arduino Opta, il controller di classe PLC dell’azienda: gestisce otto modalità di segnalazione su RS485 ed Ethernet, con un watchdog e controlli sull’integrità delle comunicazioni, ed è passato dal concetto in ricerca e sviluppo all’uso operativo in meno di dodici mesi.
• 4 novembre: la Connectivity Standards Alliance ha pubblicato una nota di due pagine su come Zigbee 4.0 getta le basi per riportare in un unico ecosistema Zigbee lo Smart Energy, il profilo usato dai contatori intelligenti rimasto separato quando Zigbee 3.0 ha unificato gli altri: un solo modello di sicurezza e un solo flusso di onboarding, ulteriori aggiornamenti 4.x per completare il lavoro, compatibilità con i dispositivi Zigbee 3.0 e Smart Energy, e come esempio un dispositivo Smart Energy, per esempio un contatore, che dice a una presa smart di spegnere un elettrodomestico nelle ore di punta, il tipo di demand response che le utility vogliono dalle case.
• 4 novembre: Raspberry Pi ha spiegato, in un post che accompagna il suo podcast, che cosa mette a disposizione delle aziende che costruiscono prodotti sulle sue schede: dichiarazioni di conformità, approvazioni FCC e rapporti di prova sul suo Product Information Portal, una camera anecoica interna da 3 metri per le prove radio, test formali in laboratori accreditati e un servizio di accesso ai mercati per le omologazioni nazionali. Utile da leggere prima della marcatura CE o della certificazione FCC di un prodotto con un Raspberry Pi dentro.

Dal sito questa settimana

• Che cos’è Home Assistant, come funziona e a chi conviene? Home Assistant spiegato.
• Quale ESP32 scegliere? Classico, S3, C3, C5, C6, H2 e P4 a confronto.
• Un dispositivo Matter deve usare Thread o Wi-Fi? Matter su Thread o Matter su Wi-Fi.
• Per quanto tempo un dispositivo connesso riceverà aggiornamenti di sicurezza, e dove si legge? Periodi di supporto di sicurezza.
• Si può far girare un LLM su un Raspberry Pi? Memoria, quantizzazione, llama.cpp, Ollama e gli AI HAT.
• Quali robot umanoidi esistono, quali si possono comprare e quanto costano? Tracker dei robot umanoidi.
• Un robot aspirapolvere costa davvero meno al Black Friday? I prezzi ufficiali prima delle offerte e come riconoscere uno sconto vero.
• Conviene una pompa di calore rispetto a una caldaia a gas? Il punto di pareggio Paese per Paese.

Termine della settimana: tecnologia operativa (OT), l’hardware e il software che controllano e comandano le apparecchiature fisiche, da una linea di produzione ai banchi frigo di un negozio. Gli attacchi di questo numero mostrano perché la distinzione dall’IT conta meno di una volta: quando un controller ha un’interfaccia web su internet, viene attaccato come qualsiasi altro computer, ma il danno è fisico.

Fonti

Le fonti sono citate con il titolo originale, di solito in inglese.

• Home Assistant, Home Assistant 2026.11
• Home Assistant, Naming things in Home Assistant
• European Commission, Joint statement on cyber incidents in refrigeration systems across the EU
• ENISA, Joint statement on cyber incidents in refrigeration systems across the EU
• CERT-FR, Alerte CERTFR-2026-ALE-012, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération
• ANSA, L'Agenzia per la cybersicurezza: gli attacchi hacker ai frigo favoriti da software non aggiornati
• Bluetooth SIG, Bluetooth High Data Throughput opens a new chapter in wireless performance
• Bluetooth SIG, Bluetooth High Data Throughput delivers a higher level of wireless performance
• Nordic Semiconductor, Nordic brings edge AI to battery-powered Wi-Fi devices, achieving twenty times lower standby power with new nRF71 Series
• Raspberry Pi, Price rises for some 16GB Raspberry Pi products
• European Commission, 525 million euro investment set to drive new generation of European chip design companies
• European Commission, press release IP/26/2345, European Chip Design Platform
• Arduino, How Techno Sky and Arduino Opta brought an industrial visual emergency signaling solution to air traffic management
• Connectivity Standards Alliance, Zigbee 4.0: Foundation for Harmonizing with Smart Energy
• Raspberry Pi, Product compliance, demystified: how Raspberry Pi helps you get to market

Argomenti: Home Assistant, Matter, Zigbee, Bluetooth, Bluetooth SIG, Nordic Semiconductor, Raspberry Pi, ENISA, Cyber Resilience Act, Commissione europea, Industrial IoT, edge AI