Sommario
Questa settimana la scena delle minacce ha mostrato una convergenza di tre fili rossi: un zero-day attivo su un prodotto enterprise-grade (FortiClient EMS), una campagna ransomware mirata al tessuto produttivo italiano (Qilin), e un’ondata di compromissioni della supply chain che ha colpito ecosistemi open source e CI/CD. La settimana si apre con vulnerabilità critiche su prodotti Microsoft e Ghost CMS, prosegue con patch out-of-band e alert CSIRT, e si chiude con il rilevamento di sfruttamento attivo su FortiClient EMS. Il quadro che emerge non è frammentato: gli attori avanzati stanno combinando vettori multipli (supply chain → RCE → ransomware) in catene di attacco sempre più efficienti.
Le notizie principali
CVE-2026-35616 — FortiClient EMS: zero-day attivo (CVSS 9.1)
La notizia più critica della settimana è lo sfruttamento attivo di una vulnerabilità di improper access control su FortiClient Enterprise Management Server, che permette a un attaccante non autenticato di bypassare l’autenticazione API ed eseguire codice tramite richieste crafted. Arctic Wolf ha osservato a maggio una campagna che abusa dell’infrastruttura di gestione endpoint per distribuire EKZ Infostealer, un credential-stealer mascherato da falso aggiornamento Fortinet ed eseguito tramite gli script VPN on_connect. Fortinet aveva rilasciato gli hotfix ad aprile (versioni 7.4.5, 7.4.6 e successive), ma i deployment non aggiornati restano esposti. Un singolo EMS compromesso si traduce in esposizione dell’intera flotta di endpoint gestiti. (Fonte: Arctic Wolf, Security Affairs, The Hacker News, BleepingComputer)
CVE-2026-26980 — Ghost CMS: SQL injection su oltre 700 siti (CVSS 9.4)
Una SQL injection non autenticata nel Content API di Ghost CMS (versioni 3.24.0–6.19.0) permette a un attaccante remoto di leggere dati arbitrari dal database, incluse le admin API key. La campagna osservata da QiAnXin XLab sfrutta queste chiavi per iniettare JavaScript malevolo negli articoli e alimentare attacchi ClickFix contro i visitatori dei blog compromessi. Tra i siti colpiti figurano proprietà di Harvard, Oxford e DuckDuckGo. La patch è disponibile dalla versione 6.19.1 (febbraio 2026), ma molti sistemi self-hosted non sono stati aggiornati. (Fonte: The Hacker News, BleepingComputer, SentinelOne)
CVE-2026-45659 — SharePoint RCE (CVSS 8.8)
Microsoft ha rilasciato un aggiornamento fuori dal ciclo Patch Tuesday per una vulnerabilità di deserializzazione di dati non attendibili in SharePoint Server (Subscription Edition, 2019, 2016) — la CVE era stata inavvertitamente omessa dagli aggiornamenti di maggio. Lo sfruttamento richiede un attaccante autenticato con permessi minimi Site Member, senza interazione utente e con bassa complessità d’attacco. SharePoint Online e Microsoft 365 non sono impattati. Microsoft valuta lo sfruttamento “meno probabile”, ma le deserializzazioni in SharePoint sono state storicamente weaponizzate entro settimane dalla disclosure: i server on-prem ospitano dati sensibili e sono spesso esposti su internet, quindi l’aggiornamento va trattato come prioritario. (Fonte: Microsoft MSRC, The Hacker News, Dark Reading)
CVE-2026-48172 — LiteSpeed cPanel Plugin (CVSS 10.0)
Aggiornamento dal Weekly #5: la vulnerabilità — un’errata assegnazione di privilegi che consente l’esecuzione di script arbitrari con privilegi di root su un componente diffuso per la gestione di hosting e server web — è ora confermata nel CISA KEV Catalog con sfruttamento attivo. Per chi gestisce hosting condiviso, l’aggiornamento è urgente: un singolo plugin vulnerabile espone l’intero server. (Fonte: Security Affairs, CSIRT Italia, CISA KEV)
TrapDoor — Campagna supply chain cross-ecosystem
Oltre 34 pacchetti malevoli distribuiti su npm, PyPI e Crates.io veicolano malware credential-stealer, con prima attività rilevata il 22 maggio 2026. La campagna conferma una tendenza: gli attaccanti non si limitano più a un singolo ecosistema, ma colpiscono in parallelo i registri di pacchetti più usati per massimizzare la superficie d’attacco. Per i team di sviluppo, la verifica delle dipendenze e il pinning delle versioni non sono più opzionali. (Fonte: The Hacker News)
Megalodon — Nuova ondata GitHub
Oltre 5.500 repository GitHub infettate in 6 ore con commit malevoli e payload bash base64-encoded, in aggiunta alle 5.718 commit malevoli rilevate nei giorni precedenti. L’automazione della campagna — migliaia di repository compromessi in finestre temporali strettissime — segnala una professionalizzazione che rende la difesa manuale impraticabile e impone controlli automatizzati sulle pipeline CI/CD. (Fonte: Dark Reading, The Hacker News)
Ransomware e gang attive
Qilin — Il CSIRT Italia ha registrato un numero significativo di attacchi ransomware Qilin sul territorio nazionale dall’inizio del 2026. I target principali sono PMI, inclusi importanti fornitori di servizi cloud italiani. La campagna si caratterizza per uno sfruttamento sistematico delle vulnerabilità esposte e una diffusione rapida una volta ottenuto l’accesso iniziale. (Fonte: CSIRT Italia)
RemotePE (Lazarus Group) — Deploy di un RAT memory-only cross-platform contro organizzazioni finanziarie e crypto, con catena multi-stage che impiega DPAPILoader e RemotePELoader. L’approccio memory-only riduce le tracce su disco e complica l’analisi forense. (Fonte: The Hacker News, Fox-IT via NCC Group)
Volt Typhoon — Nuova analisi dell’operatività del gruppo: sfruttamento di ambienti OT, log scarsi e strategia di silenzio prolungato per mantenere la persistenza. Presentazione alla 14ª Cyber Crime Conference da Stefano Maccaglia (NetWitness). (Fonte: ICT Security Magazine)
Vulnerabilità rilevanti per il contesto italiano
CSIRT Italia — Alert multipli:
- FreePBX: vulnerabilità critica con elusione dei meccanismi di autenticazione su centralini telefonici Asterisk. (Fonte: CSIRT Italia / ACN)
- GNU SASL: vulnerabilità alta su librerie di autenticazione open source. (Fonte: CSIRT Italia / ACN)
- Microsoft: due vulnerabilità sfruttate attivamente in rete. (Fonte: CSIRT Italia via CyberSecItalia)
- Symfony: vulnerabilità alta nel framework web, possibile elusione autenticazione. (Fonte: CSIRT Italia)
- GitLab CE/EE: 7 vulnerabilità, inclusa escalation privilegi. (Fonte: CSIRT Italia)
- Oracle Critical Patch Update maggio, Elastic Kibana (2 vulnerabilità alta), Google Chrome (151 vulnerabilità: 22 critiche, 123 alte). (Fonte: CSIRT Italia)
Campagna phishing ATAC S.p.A. — Smishing rivolto agli utenti del trasporto pubblico romano con il pretesto di una presunta mancata timbratura del biglietto. Impatto potenziale su credenziali aziendali se la campagna si estende al perimetro corporate. (Fonte: CSIRT Italia / ACN)
ACN Relazione annuale 2025 — +38% eventi cyber in Italia, +7% incidenti. DDoS, phishing, data exposure e ransomware restano le minacce principali. L’AI amplifica la qualità e la scala delle campagne phishing. (Fonte: CyberSecItalia)
Prospettiva
La settimana conferma un pattern che si consolida: la supply chain è il vettore primario per raggiungere ambienti protetti, e il ransomware Qilin sta sfruttando questa via per penetrare il tessuto produttivo italiano. Il zero-day FortiClient EMS dimostra che gli attori avanzati preferiscono la persistenza al rumore: non cercano la viralità, cercano l’accesso — e lo trovano abusando proprio dell’infrastruttura di gestione che dovrebbe proteggere gli endpoint. Per un SOC, la lezione operativa è chiara: il patching degli endpoint e dei servizi self-hosted (Git, CMS, sistemi di gestione) non è un’attività di manutenzione, è la prima linea di difesa contro catene di attacco che combinano supply chain compromise, RCE e ransomware deployment. La Relazione ACN 2025, con il +38% di eventi cyber in Italia, non è un dato astratto: è il risultato di queste catene che funzionano.
Fonti: Arctic Wolf, Security Affairs, The Hacker News, BleepingComputer, Dark Reading, SentinelOne, Microsoft MSRC, CISA KEV, CSIRT Italia, ACN, Fox-IT/NCC Group, ICT Security Magazine, QiAnXin XLab, CyberSecItalia