Sommario della settimana (26 Aprile – 3 Maggio 2026)
Questa settimana il panorama delle minacce ha mostrato una concentrazione interessante: da un lato, vulnerabilità critiche su infrastrutture web di uso comune (cPanel, LiteLLM) sfruttate attivamente; dall’altro, un breach APT di alto profilo che colpisce direttamente il tessuto italiano (IBM Italia). La supply chain torna al centro del discorso con campagne npm e Ruby Gems, mentre il ransomware mostra un’evoluzione tattica con tool di esfiltrazione sempre più mirati. Il quadro che emerge è di un attaccante che sa esattamente dove trovare le porte aperte e non perde tempo a bussare altrove.
🔥 Top 7 Notizie della Settimana
1. cPanel / WHM — Auth Bypass Critico (CVSS 9.3)
Fonte: BleepingComputer / Security Affairs / CISA KEV
Un auth bypass che permette l’accesso al pannello di controllo senza credenziali, sfruttato attivamente nel ransomware “Sorry”. Aggiunto al CISA KEV Catalog. Patch disponibili per tutte le versioni supportate (11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29). Per chi gestisce server con cPanel, l’upgrade non è un’opzione — è un’emergenza operativa.
2. Salt Typhoon — Breach IBM Italia
Fonte: Security Affairs
Un APT cinese-allineato ha compromesso una subsidiary IBM Italia responsabile della gestione IT per istituzioni pubbliche e private. Il breach, risalente ad aprile 2026, è stato reso pubblico questa settimana. Impatto alto sul tessuto istituzionale italiano: verificare segmenti di rete esposti e eventuali accessi laterali è la priorità assoluta.
3. LiteLLM — SQL Injection Critica (CVE-2026-42208)
Fonte: Security Affairs
SQL injection nel proxy API key verification, sfruttata attivamente in wild dopo sole 36 ore dalla disclosure. Accesso e modifica del database sensibili. LiteLLM è un proxy API sempre più diffuso per orchestrare modelli LLM — se lo usi in produzione, la mitigazione è immediata.
4. Poisoned Ruby Gems e Go Modules — Campagna Supply Chain CI/CD
Fonte: The Hacker News
Pacchetti dormienti che spingono payload per credential theft, tampering su GitHub Actions e persistence SSH. Attribuiti a account “BufferZoneCorp”. Campagna attiva che colpisce pipeline di sviluppo: verificare ogni repository e pipeline interna è un’azione necessaria, non opzionale.
5. Deep#Door — Python RAT Stealth su Windows
Fonte: Security Affairs / Securonix
Un backdoor Python nascosto in batch file che uccide le difese di Windows, con persistence multipla ed exfiltration via TCP tunnel pubblico. Campagna attiva: monitoraggio endpoint e analisi comportamentale sono le contromisure più efficaci, dato che il malware cerca di nascondersi tra i processi legittimi.
6. Trellix — Source Code Breach
Fonte: The Hacker News / Security Affairs
Accesso non autorizzato a porzione di repository source code di Trellix. Nessun segno di misuse del codice al momento, forensic in corso. Monitorare eventuali exploit basati su codice esposto e verificare la catena di fornitura dei propri strumenti di sicurezza.
7. ConsentFix v3 — Azure OAuth Abuse Automatizzato
Fonte: BleepingComputer
Nuova variante con automazione e scaling del abuso OAuth consent su Azure AD. Target: organizzazioni con policy OAuth permissive. Verificare policy OAuth e app registrate è l’azione corretta, ma la vera domanda è: quante app Azure AD hanno permessi che non controlliamo più?
🏴☠️ Sezione Ransomware
Il panorama ransomware questa settimana è dominato da due trend.
The Gentlemen conferma di essere il RaaS più attivo del 2026, con una crescita rapida che attira operatori esperti da altri programmi criminali. Il modello di business si sta consolidando, e la professionalità degli operatori si riflette in tattiche più sofisticate e minore rumore operativo.
VECT 2.0 merita attenzione per il suo comportamento anomalo: oltre al ransomware classico, include funzionalità wiper che cancellano irreversibilmente file >131KB su Windows, Linux ed ESXi. La recovery è impossibile anche per gli attaccanti stessi. Questo non è più solo ransomware — è un’arma distruttiva con il prezzo di estorsione come copertina.
Il ransomware “Sorry” che sfrutta il CVE-2026-41940 su cPanel rappresenta un pattern crescente: gruppi criminali che monitorano i CVE critici e sfruttano le patch non applicate entro ore dalla disclosure. La finestra di vulnerabilità si sta riducendo a minuti.
🇮🇹 Sezione Vulnerabilità Italia
CSIRT Italia e CERT-GARR hanno mantenuto un ritmo costante di alert questa settimana:
- Spring Framework — 5 vulnerabilità (2 alta gravità) già segnalate nella settimana precedente, aggiornamenti di sicurezza rilasciati. Framework Java enterprise ampiamente utilizzato nel panorama italiano, la patch è prioritaria.
- CVE-2026-32202 — Windows Shell Spoofing (CVSS 4.3) — Attivamente sfruttato in wild. Patch disponibile ma l’exploit attivo conferma che la disponibilità della patch non basta: la distribuzione deve essere accelerata.
- GCSA-26072 — Mozilla Firefox — Aggiornamento di sicurezza con 5 CVE (GCSA-26072), già catalogato in OpenCTI. Impatto operativo per chi gestisce browser enterprise.
La densità di alert su framework Java (Spring, Apache HttpClient) conferma che il panorama enterprise italiano continua a fare affidamento su stack che, quando vulnerabili, espongono un numero significativo di organizzazioni contemporaneamente.
🔮 Prospettiva
Questa settimana mi trovo a riflettere su un pattern che si ripete con una frequenza quasi metrica: la supply chain non è un vettore tra tanti, è il vettore principale. Da Bitwarden la settimana scorsa, a SAP e npm questa settimana, a Ruby Gems e Go Modules ora. Gli attaccanti hanno capito che è più efficiente compromettere un singolo punto della catena che attaccare migliaia di organizzazioni individualmente.
C’è un secondo pattern che merita attenzione: cPanel auth bypass sfruttato nel ransomware entro ore. Non stiamo parlando di un exploit complesso o di un zero-day di nicchia. Stiamo parlando di una vulnerabilità CVSS 9.3 su uno strumento che milioni di organizzazioni usano quotidianamente, sfruttata attivamente e aggiunta al CISA KEV Catalog. La differenza tra “patchare” e “essere compromessi” si misura in ore, non in giorni.
La terza osservazione riguarda Salt Typhoon su IBM Italia. Un APT cinese-allineato che colpisce una subsidiary IBM responsabile della gestione IT per istituzioni pubbliche e private. Non è un CVE, non è un malware generico: è un attacco mirato, sofisticato, con obiettivi istituzionali. Per un SOC manager italiano, questo non è un alert da archiviare — è un segnale che la propria organizzazione potrebbe essere nel crosshairs di un gruppo che ha già dimostrato di sapere esattamente dove trovare le porte aperte.
L’azione operativa di questa settimana è chiara: mappare le catene di fornitura che non sono mai state verificate. È lì che la superficie di attacco si espande senza che nessuno la stia monitorando.
Fonti: Security Affairs, BleepingComputer, The Hacker News, CISA KEV, CSIRT Italia, CERT-GARR, Cybersecurity360, Dark Reading, Abuse.ch, Securonix
#Cybersecurity #ThreatIntelligence #SOC #cPanel #Ransomware #APT
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì