Sommario
Questa settimana il panorama delle minacce ha mostrato due fili conduttori: la proliferazione di vulnerabilità critiche con sfruttamento attivo confermato, e un’accelerazione nelle tattiche di compromissione della catena di fornitura. Le gang ransomware stanno abbandonando progressivamente la cifratura tradizionale, preferendo estorsione diretta e pressione reputazionale. Il settore open-source è stato colpito da campagne coordinate su GitHub e npm, mentre vulnerabilità zero-day su prodotti enterprise (Cisco, NGINX, Drupal) hanno richiesto mitigazioni urgenti.
Le notizie principali
CVE-2026-20182 — Cisco SD-WAN Controller, CVSS 10.0
Vulnerabilità di authentication bypass che permette a un attaccante non autenticato di ottenere privilegi amministrativi sui controller Catalyst SD-WAN. Sfruttamento attivo confermato, aggiunta al CISA KEV con Emergency Directive. La combinazione di punteggio massimo e PoC in circolazione rende questa una priorità assoluta per qualsiasi organizzazione che utilizzi soluzioni SD-WAN Cisco. (Fonte: The Hacker News, CISA, CSIRT Italia)
CVE-2026-42945 — NGINX Plus / NGINX Open, CVSS 9.2
Heap buffer overflow nel modulo ngx_http_rewrite_module rimasto non rilevato per 18 anni. A differenza della scorsa settimana — quando esisteva solo un PoC pubblico — lo sfruttamento attivo è ora confermato da VulnCheck. Il fatto che un componente così basilare e diffuso abbia un bug di questa gravità per quasi due decenni evidenzia quanto la superficie di attacco del software open-source sia critica. (Fonte: The Hacker News, VulnCheck, SOCPrime)
CVE-2026-9082 — Drupal Core, SQL Injection
Vulnerabilità SQL injection su siti Drupal con database PostgreSQL. Patch rilasciata il 20 maggio, exploit disponibile in 48 ore, aggiunta al CISA KEV per sfruttamento attivo confermato. Dato l’ampio utilizzo di Drupal in ambito PA e istituzionale italiano, la mitigazione è urgente. (Fonte: The Hacker News, Security Affairs)
CVE-2026-48172 — LiteSpeed cPanel Plugin, CVSS 10.0
Errata assegnazione dei privilegi che permette l’esecuzione di script arbitrari con privilegi di root. Sfruttamento attivo in the wild confermato. Colpisce un componente fondamentale per la gestione di hosting e server web: un singolo plugin vulnerabile espone l’intero server. (Fonte: The Hacker News, CISA KEV)
CVE-2026-20223 — Cisco Secure Workload, CVSS 10.0
Vulnerabilità nella REST API con accesso non autenticato e remoto. Patch già rilasciata, nessuno sfruttamento attivo rilevato al momento. Si somma alla CVE SD-WAN in un contesto di prodotti Cisco sotto pressione. (Fonte: The Hacker News, Cisco PSIRT)
CVE-2026-34926 — Trend Micro Apex One, zero-day attivo (CVSS 6.7)
Vulnerabilità sfruttata attivamente che permette di modificare dati sul server e iniettare codice agli agenti gestiti. Da contestualizzare: nonostante lo status di zero-day attivo, il CVSS è 6.7 (severità media) perché lo sfruttamento richiede un attaccante locale già autenticato con privilegi amministrativi — non è una RCE remota non autenticata. Il rischio è reale ma la precondizione di accesso ne riduce l’urgenza rispetto alle CVE critiche di questa settimana. (Fonte: CSIRT Italia / ACN, BleepingComputer)
CVE-2026-45585 (“YellowKey”) — BitLocker bypass su Windows, CVSS 6.8
Zero-day che espone dati cifrati BitLocker con accesso fisico al dispositivo. Microsoft ha rilasciato una mitigazione. Sebbene richieda accesso fisico — riducendo lo scenario d’attacco a dispositivi smarriti o rubati — l’impatto sulla fiducia nel cifraggio disk-level è significativo. (Fonte: SOC Prime, Schneier on Security)
Ransomware e gang attive
MiniPlasma / GreenPlasma / YellowKey
Il ricercatore noto come “Chaotic Eclipse” ha pubblicato PoC per zero-day Windows (cldflt.sys, MiniPlasma) che concedono privilegi SYSTEM su sistemi completamente patchati, insieme a GreenPlasma (altra zero-day Microsoft) e YellowKey (BitLocker bypass). La pubblicazione simultanea di tre exploit su componenti critici di Windows, senza preavviso al vendor, ha aperto un dibattito sulla disclosure responsabile. (Fonte: CSIRT Italia, The Hacker News, Dark Reading)
LockBit
Analisi interna della gang che conferma un’evoluzione verso un modello “apolitico e interessato solo ai soldi”, con meccanismi interni sempre più orientati al business tradizionale. (Fonte: Guerre di Rete)
TeamPCP
Compromissione di GitHub tramite estensione malevola VS Code con esfiltrazione di circa 3.800 repository privati. Un vettore di attacco che combina supply chain e credential theft. (Fonte: CSIRT Italia / ACN)
Megalodon
Campagna automatizzata: oltre 5.700 commit malevoli su più di 5.500 repository GitHub con GitHub Actions e payload bash base64-encoded. Una delle più grandi campagne di compromissione open-source mai registrate. (Fonte: The Hacker News)
Estorsione pura
Security Affairs conferma il trend 2026: le gang ransomware stanno abbandonando la cifratura tradizionale, puntando su estorsione diretta, furto dati e pressione reputazionale. Gli attacchi diventano più stealth, meno rumorosi, ma potenzialmente più devastanti per la continuità operativa. (Fonte: Security Affairs)
Vulnerabilità rilevanti per il contesto italiano
CSIRT Italia ha segnalato questa settimana un numero significativo di vulnerabilità con rilevanza per il panorama italiano:
- CVE-2026-42897 — Microsoft Exchange Server XSS con OWA spoofing, CVSS 8.1, sfruttamento attivo confermato. Microsoft ha rilasciato mitigazioni tramite EEMS; dato l’uso diffuso di Exchange on-prem in PA e grandi aziende italiane, l’intervento è prioritario. (Fonte: CSIRT Italia)
- CVE-2026-46300 (“Fragnesia”) — LPE nel kernel Linux tramite page cache corruption, CVSS 7.8, PoC pubblico. Rilevante per infrastrutture Linux italiane. (Fonte: CSIRT Italia)
- CVE-2026-45185 — Vulnerabilità in Exim, MTA ampiamente utilizzato sui server Linux italiani. (Fonte: CSIRT Italia)
- CVE-2026-43284 / CVE-2026-43500 (“Dirty Frag”) — LPE nel kernel Linux con PoC e sfruttamento reale. (Fonte: CSIRT Italia)
- CVE-2026-34291 — Langflow, piattaforma AI open-source con origin validation error, aggiunta al CISA KEV. Rilevante per organizzazioni che sperimentano con AI open-source. (Fonte: CISA, The Hacker News, CSIRT Italia)
Prospettiva
La settimana evidenzia tre trend strutturali che il SOC deve tenere sotto osservazione. Primo: la concentrazione di zero-day critici su stack infrastrutturali fondamentali (Cisco, NGINX, Drupal, cPanel) con sfruttamento attivo conferma che la superficie di attacco del software di base rimane il punto più critico. Secondo: le campagne supply chain su GitHub e npm (Megalodon, TeamPCP) mostrano una professionalizzazione crescente — non più singoli actor isolati, ma operazioni coordinate con migliaia di repository compromessi. Terzo: il passaggio delle gang ransomware dall’estorsione basata su cifratura all’estorsione diretta segna un’evoluzione tattica che richiede al SOC di spostare il focus dalla rilevazione di cifratura alla rilevazione di esfiltrazione dati e attività anomale di accesso. La mitigazione delle CVE critiche resta prioritaria, ma la strategia di lungo termine deve includere il monitoraggio della supply chain e la rilevazione di anomalie post-compromissione.
Fonti: The Hacker News, Security Affairs, CISA KEV, CSIRT Italia, VulnCheck, SOCPrime, Cisco PSIRT, BleepingComputer, Dark Reading, SOC Prime, Schneier on Security, Guerre di Rete