Bollettino Settimanale CyberVeil — 24-30 Agosto 2026

Sommario

Questa settimana il panorama delle minacce ha registrato una densità di zero-day attivamente sfruttati e vulnerabilità critiche senza precedenti. La settimana si apre con l’ordine di patch urgente di CISA su Zimbra e si chiude con l’aggiunta di sei nuove entry al KEV catalog. Il vettore WordPress è stato il più colpito: almeno cinque plugin e temi hanno subito vulnerabilità critiche con sfruttamento attivo confermato. In ambito ransomware, due organizzazioni italiane — Spaggiari (ClasseViva) e TeamSystem — hanno subito breach con esfiltrazione di dati sensibili. La prospettiva che emerge è chiara: gli attaccanti stanno convergendo su stack software condivisi (WordPress, print management, identity management) con exploit chain sempre più sofisticate.

Le notizie principali

1. CVE-2026-60004 — Gitea RCE Criticamente Sfruttato (CVSS 9.8)

La vulnerabilità più discorsa della settimana. Gitea, piattaforma di gestione repository Git open-source, presenta una RCE che permette a un utente con accesso di scrittura a un repository di eseguire codice arbitrario tramite Git hook malevoli. CISA l’ha aggiunta al KEV catalog e gli attacchi attivi deployano payload miner-like. Si stima che oltre 8.300 istanze Gitea esposte a Internet non siano state patchate.

Fonte: CISA Alerts, The Hacker News, Security Affairs, BleepingComputer

2. PaperCut NG/MF — Zero-Day Senza CVE (Sfruttamento Attivo Confermato)

PaperCut NG e MF, software di gestione della stampa, sono stati colpiti da una zero-day crittografica che interessa tutte le versioni. La vulnerabilità permette esecuzione di codice Java arbitrario. PaperCut ha rilasciato un patch di emergenza, ma i ricercatori hanno scoperto un bypass del primo fix, rendendo necessario un secondo patch. Nessuna CVE è stata ancora assegnata.

Fonte: The Hacker News, Security Affairs, BleepingComputer

3. Oracle WebLogic / HTTP Server — CVE-2026-21962 (CVSS 10.0)

Vulnerabilità non autenticata nel Proxy Plug-in di Oracle WebLogic Server e Oracle HTTP Server che permette accesso a dati critici senza credenziali. CISA l’ha aggiunta al KEV catalog citando evidenza di sfruttamento attivo. Punteggio CVSS massimo: 10.0.

Fonte: The Hacker News, Security Affairs, CISA Alerts

4. WordPress — Ondata di Vulnerabilità Critiche

La settimana ha visto almeno tre ondate di vulnerabilità WordPress sfruttate attivamente:

• miniOrange SAML 2.0 SSO (CVE-2026-61979 / CVE-2026-15981, CVSS 9.8): bypass di autenticazione che permette login come qualsiasi utente, inclusi amministratori. Patch manuale richiesta.
• Avada (zero-click RCE): catena di vulnerabilità nel tema WordPress più diffuso che permette esecuzione PHP arbitraria senza alcun intervento utente.
• WPMU DEV Dashboard (CVE-2026-76581, CVSS 9.8): authentication bypass su cinque plugin/theme (WPMU DEV Dashboard, Avada, TranslatePress, Pods, GiveWP). Patch disponibili.

Fonte: BleepingComputer, Security Affairs, Patchstack, The Hacker News

5. Microsoft SharePoint — RCE Chain con PoC Attivo

Attacchi attivi contro una catena di due vulnerabilità in Microsoft SharePoint che permettono esecuzione di codice arbitrario su server non patchati. Proof-of-concept in circolazione.

Fonte: BleepingComputer

6. ServiceNow — 3 Vulnerabilità CVSS 10.0

Tre vulnerabilità con punteggio massimo nella ServiceNow AI Platform: code injection, SQL injection e privilege escalation. Patch rilasciate ma le organizzazioni self-hosted devono agire immediatamente.

Fonte: The Hacker News, BleepingComputer, CSIRT Italia

7. CVE-2026-18963 — Keycloak Password Reset Bypass (CVSS 9.1)

Red Hat e il progetto Keycloak hanno patchato una vulnerabilità critica nell’identity and access management server open-source. Un attaccante remoto non autenticato può sovrascrivere il reset della password e assumere il controllo di qualsiasi account utente.

Fonte: The Hacker News

Ransomware e gang attive

Spaggiari (ClasseViva) — Breach Dati Scolastici

Il gruppo Spaggiari Parma (modulo Bergantini, piattaforma ClasseViva) ha subito un cyber attacco. I dati sono già in vendita a 50.000 USD. Coinvolti studenti e famiglie, con dati personali e informazioni scolastiche a rischio.

Fonte: Cybersecurity360

TeamSystem — Esfiltrazione Dati Contabili

TeamSystem ha confermato l’esfiltrazione di dati contabili dal suo servizio. Il rischio non si limita all’IBAN: dati finanziari e informazioni sensibili sono a rischio.

Fonte: Cybersecurity360

Rhysida Ransomware — Attacco a Berlino

Il gruppo Rhysida ha colpito la rete amministrativa dello stato di Berlino, rubando 5.79 TB di dati. La rivendicazione avviene in vista delle elezioni tedesche. Il governo tedesco ha rifiutato di pagare.

Fonte: Security Affairs, The Hacker News

Barracuda — Settore Idrico USA

Il gruppo Barracuda ha rivendicato un attacco a Micro-Comm (Kansas), azienda di Olathe specializzata in tecnologie per impianti di trattamento acque reflue. Settore idrico USA compromesso.

Fonte: CyberSecItalia

McKesson — Breach Sanitario (ShinyHunters)

ShinyHunters rivendica un breach a McKesson con 284 milioni di record pazienti rubati. L’accesso è passato attraverso terze parti, non dati diretti di McKesson.

Fonte: BleepingComputer

Vulnerabilità rilevanti per il contesto italiano

393.000 Dispositivi Sanitari a Rischio

Uno studio identifica 393.000 dispositivi e piattaforme sanitarie a rischio cyber in 15 paesi. L’Italia è tra i paesi più esposti. I rischi principali includono manipolazione di dati sanitari e compromissione di macchinari MRI, radiografie e sistemi gestionali ospedalieri.

Fonte: Cybersecurity360

CSIRT Italia — Advisory Multiple

La settimana ha visto un numero significativo di advisory ACN/CSIRT Italia:

• Apache: 10 vulnerabilità (7 critiche, 3 alte)
• Ubiquiti UniFi: 23 vulnerabilità (22 critiche, 1 alta)
• NVIDIA: 28 vulnerabilità (2 critiche, 17 alte) — NemoClaw, OpenShell, UFM Enterprise
• WatchGuard: 5 critiche, 12 alte in prodotti firewall
• Synology DSM: vulnerabilità critica nel Chat Server
• Grafana Alloy: vulnerabilità alta
• GitLab EE: vulnerabilità alta
• Adobe: 32 vulnerabilità (3 critiche, 29 alte)
• Google Chrome: 327 vulnerabilità (18 critiche, 53 alte)

Fonte: ACN/CSIRT Italia

Interferenze GNSS — Infrastrutture Critiche

Jamming e spoofing su sistemi di navigazione satellitare stanno colpendo trasporti e infrastrutture critiche. L’Italia e le istituzioni europee stanno lavorando a una risposta coordinata.

Fonte: Cybersecurity360

Prospettiva

La settimana del 24-30 agosto 2026 segna un punto di svolta nel pattern degli attacchi: non siamo più di fronte a vulnerabilità isolate, ma a una convergenza sistematica su stack software condivisi. WordPress, con almeno cinque plugin/temi colpiti in sequenza, è diventato il bersaglio principale. Gitea, PaperCut, Oracle WebLogic e SharePoint — tutti con sfruttamento attivo confermato — mostrano che gli attaccanti stanno prioritarizzando software ampiamente deployato in ambienti enterprise con patch disponibili da mesi.

Per un SOC, la lezione operativa è duplice: verificare l’esposizione a questi stack specifici e preparare playbook di risposta che considerino la possibilità di exploit chain in produzione. La presenza di PoC attivi (SharePoint, Gitea) riduce la finestra di patch a ore, non giorni.

La presenza di due breach italiani (Spaggiari e TeamSystem) conferma che il ransomware non è più solo un problema di grandi enterprise: le organizzazioni con dati sensibili di cittadini, studenti o pazienti sono ad alto rischio, indipendentemente dalle dimensioni.

CyberVeil Weekly — Bollettino generato automaticamente dal SOC. Per approfondimenti, consultare le fonti indicate.

Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì