Sommario (1 – 7 Giugno 2026)
La settimana si è caratterizzata per un’alta densità di vulnerabilità zero-day attivamente sfruttate su prodotti enterprise di networking e identità. Il filo conduttore è la pressione su infrastrutture critiche: dalla RCE pre-auth su Netlogon che espone i domain controller Windows, alla zero-day di Cisco SD-WAN Manager senza patch disponibile, fino alle campagne supply-chain che compromettono ecosistemi di sviluppo (npm, GitHub) sfruttando anche i tool di coding AI. Per i SOC, la sfida principale non è solo la rilevazione, ma la mitigazione in assenza di patch ufficiali.
Le notizie principali
1. CVE-2026-41089 — Windows Netlogon: RCE pre-auth sui Domain Controller (CVSS 9.8)
La vulnerabilità più grave della settimana è un buffer overflow stack-based nel servizio Netlogon RPC di Windows Server, che consente a un attaccante non autenticato di eseguire codice da remoto inviando una richiesta crafted a un domain controller — senza interazione utente. Trattandosi di Netlogon, il protocollo di autenticazione del dominio, una compromissione del DC equivale a una compromissione dell’intero dominio Active Directory: estrazione del database NTDS.dit, GPO malevole, controllo amministrativo completo. Microsoft ha rilasciato la patch il 12 maggio (Patch Tuesday), classificandola inizialmente come “exploitation less likely”, ma il Centre for Cybersecurity Belgium (CCB) ha confermato lo sfruttamento attivo in the wild il 1° giugno. Nota: al momento la CVE non è ancora nel catalogo KEV di CISA, anche se un inserimento è considerato imminente. Priorità di mitigazione massima per tutti gli ambienti Windows con domain controller. (Fonte: Help Net Security, BleepingComputer, CCB Belgium, Orca Security)
2. CVE-2026-20245 — Cisco SD-WAN Manager: zero-day senza patch (CVSS 7.8)
Command injection nella CLI di Cisco Catalyst SD-WAN Manager (On-Prem, Cloud, FedRAMP) che consente l’esecuzione di comandi come root tramite upload di file crafted. È il settimo zero-day SD-WAN sfruttato nel 2026, riportato da Mandiant. Importante: non è una vulnerabilità sfruttabile da sola — richiede che l’attaccante abbia già ottenuto privilegi netadmin autenticati, tipicamente concatenandola con vulnerabilità di authentication bypass come CVE-2026-20182 (maggio 2026) o CVE-2026-20127 (sfruttata dal 2023 dal cluster UAT-8616). Nei casi osservati, gli attaccanti hanno usato l’accesso root per pushare modifiche di configurazione ai dispositivi edge gestiti. Nessuna patch né workaround disponibile alla disclosure: la mitigazione è centrata su hardening, applicazione delle patch per le CVE di accesso correlate e revisione di compromissione. (Fonte: Cisco PSIRT, Help Net Security, SecurityWeek, The Hacker News)
3. CVE-2026-3300 — Everest Forms Pro WordPress RCE (CVSS 9.8)
Vulnerabilità critica di esecuzione di codice PHP nel plugin WordPress Everest Forms Pro (~4.000 installazioni attive), sfruttata attivamente dal 13 aprile. La falla risiede nella funzione process_filter() del Calculation Addon, che concatena i valori dei campi form in una stringa PHP passata a eval() senza escaping adeguato, permettendo a un attaccante non autenticato di iniettare codice. Wordfence ha bloccato oltre 29.000 tentativi; gli attaccanti hanno tentato di creare account amministrativi rogue. Patch disponibile dalla versione 1.9.13. (Fonte: The Hacker News, BleepingComputer, SecurityWeek, Wordfence)
4. CVE-2026-0257 — PAN-OS GlobalProtect: sfruttamento attivo in due ondate (CVSS 7.8)
Authentication bypass su PAN-OS GlobalProtect che permette di forgiare cookie di autenticazione e stabilire connessioni VPN non autorizzate, quando il certificato usato per cifrare i cookie è condiviso con il servizio HTTPS. Rapid7 ha osservato due ondate di sfruttamento (17 e 21 maggio), probabilmente dallo stesso threat actor. Palo Alto ha rilasciato patch il 13 maggio e CISA ha aggiunto la CVE al KEV con scadenza FCEB 1° giugno. Panorama e Cloud NGFW non sono affetti. (Fonte: Unit 42, Rapid7, The Hacker News, CISA KEV)
5. CVE-2026-3055 — Citrix NetScaler: sfruttamento su larga scala (CVSS 9.3)
Out-of-bounds read in NetScaler ADC e Gateway configurati come SAML Identity Provider, che consente a un attaccante non autenticato di leggere dati sensibili dalla memoria dell’appliance. Disclosure a marzo 2026 con aggiunta al KEV CISA il 30 marzo; Fortinet ha confermato di recente uno sfruttamento su larga scala contro appliance esposte su internet. Dato il precedente di CitrixBleed (CVE-2023-4966), le appliance NetScaler restano tra i target più aggrediti. Priorità per ambienti con esposizione internet e configurazione SAML IDP. (Fonte: Fortinet, watchTowr, Rapid7, The Hacker News)
6. CVE-2026-20230 — Cisco Unified CM: SSRF con PoC pubblico (CVSS 8.6)
Vulnerabilità SSRF nel servizio WebDialer di Cisco Unified Communications Manager che, tramite scrittura di file arbitrari sul sistema operativo, può portare a escalation a root. Cisco ha assegnato un Critical Security Impact Rating nonostante il CVSS 8.6, data la potenziale compromissione completa dell’appliance. Codice PoC già pubblico, patch disponibile (14SU6 / 15SU5), ma al momento Cisco non ha rilevato sfruttamento attivo. Esposti solo i deployment con WebDialer abilitato (disabilitato di default). Impatto su infrastrutture VoIP aziendali. (Fonte: Cisco PSIRT, SOCRadar, The Hacker News, BleepingComputer)
7. CVE-2025-48595 — Android Framework: zero-day in attacchi mirati (CVSS 8.4)
Google ha rilasciato il bollettino di sicurezza Android per giugno 2026 con 124 vulnerabilità patchate, inclusa CVE-2025-48595, un integer overflow nell’Android Framework. Si tratta di una privilege escalation locale: l’attaccante deve aver già ottenuto l’esecuzione di codice sul dispositivo (es. tramite un’app malevola), dopodiché può elevare i privilegi senza interazione utente. Google segnala “sfruttamento limitato e mirato” — un pattern tipicamente associato a spyware commerciale o attori state-sponsored. Aggiunta al KEV CISA il 2 giugno. (Fonte: BleepingComputer, The Hacker News, Google ASB, CISA KEV)
Ransomware e gang attive
Qilin: aumento attacchi contro PMI italiane
Il CSIRT Italia ha segnalato un aumento degli attacchi ransomware Qilin contro le PMI italiane dall’inizio del 2026, con vittime che includono anche importanti fornitori di servizi. Il ransomware Qilin continua a essere una minaccia attiva sul territorio italiano, con un pattern di targeting che privilegia le organizzazioni con minore maturità di sicurezza. (Fonte: CyberSecItalia, CSIRT Italia)
AI-Built Ransomware Toolkit
Sophos ha documentato (2 giugno) un threat actor che ha usato agenti AI — tra cui Cursor e Claude Opus — per costruire e operare un laboratorio di sviluppo malware orientato all’evasione degli EDR. Il framework automatizza la scoperta dell’Active Directory e testa i payload contro le soluzioni EDR di Sophos, CrowdStrike e Microsoft, con profili Cobalt Strike, C2 via Telegram e payload modulari in Rust e Go. Due precisazioni importanti: il workflow resta interamente guidato dall’uomo (gli agenti AI assistono, non operano in autonomia), e Sophos nota che il successo dichiarato dal toolkit non è supportato da evidenze e potrebbe essere un’allucinazione dell’AI stessa. Resta comunque un segnale dell’evoluzione delle capacità operative degli attaccanti. (Fonte: Sophos, BleepingComputer, Help Net Security)
Note operative
- Nessun nuovo ransomware su organizzazioni italiane rilevato nei daily 04-07 Giugno.
- Miasma / IronWorm: campagna supply-chain auto-propagante (variante di Mini Shai-Hulud). Ha compromesso 32 pacchetti nel namespace npm @redhat-cloud-services (1° giugno) e portato GitHub a disabilitare 73 repository Microsoft (Azure, Azure-Samples, Microsoft, MicrosoftDocs) il 5 giugno. Il worm pianta file di configurazione che eseguono codice quando il repository viene aperto in tool di coding AI (Claude Code, Cursor, Gemini CLI, VS Code), rubando credenziali e token per propagarsi. (Fonte: The Hacker News, StepSecurity, BleepingComputer)
Vulnerabilità rilevanti per il contesto italiano
CSIRT Italia: criticità multiple
Il CSIRT Italia ha pubblicato advisory su numerose vulnerabilità critiche:
- MariaDB: 3 vulnerabilità (1 critica, 2 alte) nel componente Galera — RCE e alterazione dati
- MISP Project: vulnerabilità critica nella piattaforma CTI
- SQLite: vulnerabilità critica nel gestore database
- Google Chrome: ondata record di vulnerabilità patchate, incluse diverse critiche (Fonte: CSIRT Italia, The Hacker News)
- Progress Kemp LoadMaster: vulnerabilità critica
- Parallels Desktop: 4 PoC pubblici per CVE ad alta gravità (Fonte: CSIRT Italia)
MUR: 12M€ per formazione cyber
Il Ministero dell’Università e della Ricerca ha stanziato 12 milioni di euro per la formazione in cybersecurity. Un segnale positivo sulla crescita della consapevolezza e delle competenze nel settore. (Fonte: CyberSecItalia)
Campagna phishing pedaggio autostradale
CSIRT Italia ha segnalato una campagna di phishing che sfrutta il tema del pedaggio autostradale, rivolta a utenti italiani come vettore di delivery di malware. (Fonte: CSIRT Italia)
Prospettiva
Questa settimana ha confermato un pattern ricorrente: la densità di zero-day attivamente sfruttate su prodotti enterprise di networking e identità supera la capacità di risposta dei team di sicurezza. Una RCE pre-auth sui domain controller (Netlogon), il settimo zero-day SD-WAN dell’anno, e supply-chain attack che compromettono ecosistemi di sviluppo creano un panorama in cui la mitigazione proattiva diventa essenziale. Un dato merita attenzione particolare: il worm Miasma sfrutta i tool di coding AI come vettore di esecuzione — un segnale che la superficie d’attacco si sta estendendo agli strumenti stessi che gli sviluppatori usano ogni giorno. Per le organizzazioni italiane, l’attenzione dovrebbe concentrarsi su: patching prioritario dei domain controller Windows (CVE-2026-41089), verifica dello stato delle infrastrutture SD-WAN Cisco, plugin WordPress critici, e monitoraggio delle campagne di phishing in corso. La mancanza di patch per CVE-2026-20245 su Cisco SD-WAN resta critica per chi è già stato compromesso: i team SOC dovrebbero valutare mitigazioni alternative e rafforzare il monitoring degli endpoint di gestione.
Fonti: Help Net Security, BleepingComputer, SecurityWeek, The Hacker News, Cisco PSIRT, CCB Belgium, Orca Security, Rapid7, Unit 42, Fortinet, watchTowr, SOCRadar, Sophos, StepSecurity, CISA KEV, CSIRT Italia, CyberSecItalia, Wordfence, Google ASB