Bollettino Settimanale CyberVeil — 03/08/2026 – 09/08/2026

Sommario

Questa settimana il panorama delle minacce è stato dominato da due pattern ricorrenti: zero-day su tool di infrastruttura critica sfruttati attivamente in rete, e un’ondata di compromissioni supply-chain nel ecosistema npm. La settimana è iniziata con l’annuncio di CVE-2026-66066 su Ruby on Rails (CVSS 9.5) e CVE-2026-42897 su Outlook Web Access sfruttato da TA488, per culminare giovedì con il zero-day Metabase CVSS 10.0 e la settimana si è chiusa con la conferma di sfruttamento attivo su JetBrains TeamCity e Cisco SD-WAN. Il filo conduttore è chiaro: gli attaccanti puntano sistematicamente su tool interni — CI/CD, load balancer, database analytics, RMM — che le organizzazioni danno per sicuri ma che offrono un foothold immediato con privilegi elevati.

Le notizie principali

1. Metabase zero-day CVSS 10.0 — sfruttamento attivo, nessuna patch

Giovedì 7 agosto è emerso un zero-day su Metabase con punteggio CVSS 10.0, il massimo possibile. La vulnerabilità consiste in una SQL injection non autenticata nel database di Metabase che concede accesso amministrativo remoto completo. Non è stato ancora assegnato un CVE e non esiste alcuna patch disponibile. Chi utilizza Metabase Cloud o installazioni on-premise è esposto in tempo reale. Gli attaccanti stanno già sfruttando la falla in campagne attive. (Fonte: The Hacker News, Security Affairs)

2. JetBrains TeamCity — CVE-2026-63077 (CVSS 9.8), sfruttamento attivo confermato

La settimana scorsa JetBrains ha rilasciato una patch per CVE-2026-63077, una vulnerabilità di deserializzazione di dati non attendibili che consente accesso amministrativo remoto non autenticato al server CI/CD on-premise. CISA ha già inserito la vulnerabilità nella KEV catalog, segno inequivocabile di sfruttamento attivo in rete. Chi gestisce pipeline di build interne deve verificare immediatamente lo stato di patching. (Fonte: The Hacker News, Security Affairs, CISA)

3. Cisco — 12 vulnerabilità SD-WAN e IOS XE, 3 con CVSS 9.8

Cisco ha rilasciato aggiornamenti per 12 vulnerabilità su Catalyst SD-WAN e IOS XE Software: 5 critiche e 11 ad alta gravità. Tre di queste raggiungono CVSS 9.8. La CVE-2026-20316 è attivamente sfruttata in rete, mentre la CVE-2026-20200 ha un PoC pubblico disponibile. I dispositivi di rete enterprise sono nel mirino degli attaccanti. (Fonte: CSIRT Italia, The Hacker News)

4. N-able N-central — CVE-2026-18577, sfruttamento attivo confermato

La vulnerabilità di authentication bypass su N-able N-central (CVSS 8.2) è stata confermata attiva in rete da CSIRT Italia e aggiunta al CISA KEV Catalog. Il primo hotfix rilasciato da N-able si è rivelato incompleto: è stata scoperta una nuova via di bypass. La build 2026.3.1.7 è la prima versione non vulnerabile. Giovedì 8 agosto N-able ha rilasciato un secondo hotfix in risposta all’evoluzione delle tecniche degli attaccanti. (Fonte: CSIRT Italia, CISA, The Hacker News, SOCPrime)

5. INC Ransomware — zero-day SonicWall SMA 1000

INC Ransomware è diventato il threat actor dominante nello sfruttamento delle vulnerabilità di SonicWall Secure Mobile Access 1000. L’attività è accelerata dall’inizio di agosto 2026, con campagne di estorsione che includono chiamate e email dirette alle vittime. Le vittime sono listate sul data leak site della gang. (Fonte: The Hacker News, Security Affairs)

6. Outlook Web Access — CVE-2026-42897 (TA488)

La falla XSS in Outlook Web Access è stata sfruttata da TA488 con una tecnica half-click: basta aprire l’email per installare OWAReaper, un backdoor persistente. Non servono link o allegati — l’apertura dell’email è sufficiente. Gli enti governativi e le aziende negli USA e in Europa sono stati colpiti. (Fonte: Cyber Security 360)

7. Supply-chain npm — ChainDrop e Keyv-linked worm

Due attacchi supply-chain distinti hanno colpito l’ecosistema npm questa settimana. ChainDrop ha compromesso 1.300+ pacchetti con malware auto-propagante, per un totale di 2 miliardi di download mensili combinati. Parallelamente, il worm Keyv-linked ha avvelenato 353+ versioni su 79+ package names (rapportato da SafeDep), con Aikido che riporta 868+ pacchetti compromessi. La tattica parte da keyv@6.0.0 con credential-stealing e propagazione cross-namespace. (Fonte: BleepingComputer, The Hacker News)

Ransomware e gang attive

INC Ransomware conferma la sua posizione come threat actor dominante nello sfruttamento zero-day su appliance di rete (SonicWall SMA 1000). Le tattiche post-compromissione includono pressione diretta sulle vittime tramite chiamate e email, un pattern che indica organizzazioni mature con risorse dedicate.

TA488 continua a operare con sofisticazione: la campagna OWAReaper sfrutta una vulnerabilità XSS su Outlook Web Access con tecnica zero-click (basta aprire l’email), installando una backdoor persistente. Il target è istituzionale — enti governativi e grandi aziende.

“Head Mare” ha compromesso il client TrueConf sostituendo gli installer con versioni trojanizzate, sfruttando vulnerabilità non patchate sui server di videoconferenza. (Fonte: BleepingComputer)

Vulnerabilità rilevanti per il contesto italiano

CSIRT Italia ha pubblicato alert critici questa settimana:

• Check Point: vulnerabilità critica che consente elusione dei meccanismi di autenticazione ed esecuzione di comandi arbitrari. (Fonte: ACN CSIRT Italia)
• Jenkins: vulnerabilità critica per esecuzione di codice arbitrario su server CI/CD. (Fonte: ACN CSIRT Italia)
• LangFlow (CVE-2026-12940): command injection con PoC pubblico disponibile. (Fonte: ACN CSIRT Italia)
• pgAdmin (CVE-2026-17351): 3 vulnerabilità critiche + 2 alte, PoC online. (Fonte: CSIRT Italia)
• cPanel (CVE-2026-58048, CVSS 9.4): privilege escalation con SQL injection nel contesto root del database. (Fonte: The Hacker News, Security Affairs)

La presenza simultanea di vulnerabilità critiche su firewall (Check Point), server CI/CD (Jenkins) e strumenti di gestione database (pgAdmin) indica un vettore di attacco multi-livello: chi gestisce infrastrutture IT in Italia deve prioritizzare la patching di questi tre asset.

Prospettiva

Questa settimana ha confermato un pattern che si ripete da mesi: gli attaccanti non cercano più zero-day sofisticati su prodotti consumer. Puntano su tool interni — server CI/CD, load balancer, piattaforme analytics, RMM — che le organizzazioni configurano, dimenticano di monitorare, e danno per sicuri. Metabase CVSS 10.0 senza patch, TeamCity con sfruttamento attivo in CISA KEV, Cisco SD-WAN con CVE attivamente sfruttate: sono tutti tool che operano “dietro le quinte” ma che offrono un accesso con privilegi elevati al primo colpo.

La lesson di questa settimana è operativa: mappare tutti i tool interni che espongono interfacce web, verificare lo stato di patching contro i CVE attivi della settimana, e assicurarsi che i controlli di rete siano configurati per bloccare il traffico malestratto verso questi servizi. Non serve uno zero-day daAPT quando il target è uno strumento che tutti danno per sicuro.

Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì