Sommario della settimana (11 – 18 Maggio 2026)

Questa è stata una settimana densa, di quelle che costringono a rivedere le priorità di patching entro venerdì sera. Tre filoni dominano il panorama: CVE enterprise a gravità massima, ransomware che scala a livelli industriali, e exploit che riducono la finestra di reazione a ore.

La notizia che ha definito la settimana è stata il CVE-2026-20182 su Cisco SD-WAN (CVSS 10.0) — authentication bypass sfruttato attivamente, aggiunto al CISA KEV, con deadline FCEB fissata al 17 maggio. Se non hai patchato i controller SD-WAN, sei già nel mirino.

Ma non è stato solo Cisco. NGINX Rift (CVE-2026-42945, CVSS 9.2) ha mostrato che un heap buffer overflow di 18 anni può restare invisibile fino al giorno della disclosure, impattando milioni di server web globali. E Foxconn — il colosso della produzione elettronica — ha subito uno dei più grandi attacchi ransomware mai registrati, con 8 TB di dati esfiltrati e la supply chain globale a rischio.

Top 7 Notizie della Settimana

1. Cisco SD-WAN — CVE-2026-20182 (CVSS 10.0)

Fonte: Cisco PSIRT / CISA KEV / Rapid7 / The Hacker News

Authentication bypass su Cisco Catalyst SD-WAN Controller e Manager, scoperto da Rapid7. Accesso amministrativo remoto non autenticato tramite il servizio vdaemon su DTLS (UDP 12346). CISA ha emesso la Emergency Directive 26-03 con deadline 17 maggio. Sfruttamento attivo confermato, attribuito al threat actor UAT-8616 (tracciato da Cisco Talos), attivo su infrastrutture SD-WAN dal 2023. La vulnerabilità non è un bypass della patch di CVE-2026-20127, ma un difetto diverso nella stessa area del networking stack. Se gestisci infrastrutture SD-WAN Cisco, la priorità assoluta è patchare oggi.

2. NGINX Rift — CVE-2026-42945 (CVSS 9.2)

Fonte: depthfirst / F5 / The Hacker News / Security Affairs

Un heap buffer overflow nel modulo ngx_http_rewrite_module di NGINX Plus e NGINX Open (versioni 0.6.27–1.30.0). 18 anni senza rilevamento, scoperto da depthfirst tramite analisi automatizzata del codice sorgente. RCE non autenticata possibile su sistemi con ASLR disabilitato, DoS affidabile su tutti i sistemi vulnerabili. PoC pubblico disponibile. Al momento della disclosure nessuna evidenza di sfruttamento attivo in the wild, ma la presenza di un PoC funzionante rende lo sfruttamento una questione di tempo. Patch disponibile (1.30.1, 1.31.0). Workaround: sostituire le unnamed captures ($1, $2) con named captures nelle regole di rewrite.

3. Foxconn — Nitrogen Ransomware (8 TB esfiltrati)

Fonte: BleepingComputer / Security Affairs / Cybersecurity360 / Dark Reading

Il più grande produttore elettronico al mondo colpito da Nitrogen Ransomware. Oltre 11 milioni di file rubati, stabilimenti produttivi in Nord America fermi, supply chain globale a rischio (Apple, Sony). Non è solo un incidente: è un segnale sul futuro del ransomware industriale.

4. Microsoft Exchange Zero-Day — CVE-2026-42897 (CVSS 8.1)

Fonte: Microsoft / CSIRT Italia / BleepingComputer / SecurityWeek

XSS/OWA spoofing su Exchange Server on-prem (2016, 2019, SE). Sfruttamento attivo confermato da Microsoft: l’attaccante invia email crafted che eseguono JavaScript arbitrario nel contesto browser della vittima quando aperte in Outlook Web Access. Exchange Online non colpito. Patch non ancora disponibile — Microsoft ha rilasciato solo mitigazioni temporanee tramite Exchange Emergency Mitigation Service (EEMS) e lo script EOMT. Le mitigazioni possono causare problemi con OWA Print Calendar e immagini inline.

5. Turla (FSB Center 16) — Kazuar P2P Botnet

Fonte: The Hacker News

La backdoor Kazuar è stata trasformata in una botnet P2P modulare per accesso persistente stealth. Nuova architettura attiva, state-sponsored Russia. La migrazione da C2 centralizzato a P2P è un trend che si sta consolidando: meno punti di failure, più resilienza per l’attaccante.

6. cPanel Auth Bypass — CVE-2026-41940

Fonte: CSIRT Italia / The Hacker News

Threat actor “Mr_Rot13” sta sfruttando attivamente un authentication bypass su cPanel/WHM per deployare backdoor “Filemanager” su sistemi compromessi. Patch disponibile ma l’attacco è già in corso. Se gestisci hosting condiviso, verifica immediatamente.

7. BerriAI LiteLLM — CVE-2026-42208 (CVSS 9.3, KEV CISA)

Fonte: Security Affairs / CISA / Sysdig / Bishop Fox

SQL injection pre-autenticazione nel proxy API key verification di LiteLLM. Aggiunto al KEV di CISA. L’exploit è stato osservato entro 36 ore dalla pubblicazione dell’advisory GitHub. L’impatto è critico: un attaccante può estrarre tutte le API key upstream (OpenAI, Anthropic, Gemini) memorizzate nel database del proxy.

Sezione Ransomware

La settimana conferma un trend chiaro: il ransomware non è più solo un problema di crittografia, è un’operazione industriale. Foxconn non è un’eccezione — è il segnale di una tendenza consolidata.

Nitrogen Ransomware ha esfiltrato 8 TB di dati da Foxconn, rendendo questo uno dei più grandi attacchi ransomware mai registrati contro un singolo produttore. Le implicazioni per la supply chain globale di elettronica sono concrete: produttori di componenti che dipendono da Foxconn stanno subendo contraccolpi operativi.

RansomHouse ha rivendicato l’accesso al repository source code di Trellix (azienda di cybersecurity). Sebbene non ci siano evidenze di codice compromesso, il concetto è significativo: un gruppo ransomware che punta al codice sorgente di un vendor di sicurezza.

Chaos Ransomware-as-a-Service continua a evolversi: usato come copertura da APT iraniana per spionaggio geopolitico. I confini tra cybercrime e cyberwarfare si stanno dissolvendo.

Vulnerabilità Italia — Alert CSIRT Italia / CERT-GARR

Questa settimana CSIRT Italia e CERT-GARR hanno emesso alert su diverse categorie di prodotti:

• Fortinet (CVE-2026-44277 / CVE-2026-44278): due vulnerabilità critiche + una alta su FortiSandbox, FortiOS, FortiAuthenticator. Patch rilasciate.
• PHP (RCE): vulnerabilità critica che impatta milioni di server web italiani. Patch disponibile.
• GitLab CE/EE: 25 vulnerabilità (7 critiche) su server CI/CD. Patch disponibile.
• HPE Aruba Networking: 29 vulnerabilità alta gravità. Patch rilasciate.
• Palo Alto Networks: aggiornamenti sicurezza multipli su firewall. Patch rilasciate.
• VMware Fusion: privilege escalation su virtualizzazione macOS. Patch disponibile.
• Craft CMS (CVE-2026-44010/44011): PoC pubblici per RCE e info disclosure. Patchati ma PoC attivi.
• Langflow (CVE-2026-42048): PoC per piattaforma AI agent/chatbot open-source. Patchato ma PoC attivo.
• CERT-GARR: vulnerabilità Safari (GCSA-26085), patch disponibile.

Nota operativa: la campagna di phishing pedaggio autostradale via WhatsApp è attiva e targeting utenti italiani. Segnala e blocca i numeri sospetti.

Prospettiva

Tre osservazioni operative:

1. Il tempo tra disclosure e exploit si sta riducendo. LiteLLM è stato sfruttato in 36 ore dalla disclosure. NGINX Rift ha avuto PoC pubblici il giorno stesso. Se il tuo processo di patching ha una finestra di 72 ore, stai operando in ritardo rispetto agli attaccanti.

2. L’AI non è solo il bersaglio — è il moltiplicatore. Google Threat Intelligence Group ha documentato un 2FA bypass sviluppato con supporto AI. I threat actor stanno usando AI commerciale per automatizzare e scalare attività che un tempo richiedevano settimane di sviluppo manuale.

3. La supply chain resta il vettore dominante. Da JDownloader a RubyGems, da npm a PyPI, ogni ecosistema di pacchetti è un potenziale vettore. La verifica dell’integrità degli installer e dei pacchetti è una necessità operativa quotidiana, non un’attività periodica.

La questione operativa per chi gestisce un SOC è concreta: quanto è robusto il processo di patching quando gli exploit arrivano in ore?

Fonti: Cisco PSIRT, Rapid7, CISA KEV, CSIRT Italia, CERT-GARR, Microsoft, F5/depthfirst, The Hacker News, BleepingComputer, Security Affairs, Cybersecurity360, Dark Reading, SecurityWeek, Sysdig, Bishop Fox, Picus Security