CyberVeil Weekly #9: zero-day su SD-WAN, web hosting e Defender, FortiBleed e la supply chain Mastra AI (15 al 21 giugno 2026)

Sommario

Questa settimana mostra una concentrazione di vulnerabilita zero-day attivamente sfruttate su prodotti enterprise diffusi (Cisco SD-WAN Manager, Joomla JCE, LiteSpeed cPanel), accompagnata da una campagna di credential-harvesting su scala industriale (FortiBleed) e da un attacco supply chain di matrice nation-state (Mastra AI). Il filo conduttore e doppio: la superficie di attacco si espande sia sulle vulnerabilita critiche non patchate sia sulle credenziali compromesse, due vettori complementari che richiedono risposte diverse. Patch da una parte, rotazione delle credenziali e hardening dall’altra.

Le notizie principali

1. CVE-2026-20262, Cisco Catalyst SD-WAN Manager: zero-day attiva (CVSS 6.5)

Un arbitrary file write (path traversal, CWE-22) nell’interfaccia web di Cisco Catalyst SD-WAN Manager, confermato in sfruttamento attivo da Cisco PSIRT e aggiunto da CISA al KEV il 15 giugno (deadline FCEB 29 giugno). Importante notare il prerequisito: lo sfruttamento richiede credenziali valide di un utente anche a basso privilegio (non e una falla non autenticata), ma da quel punto l’attaccante puo scrivere file arbitrari sul sistema ed elevare i privilegi a root. La gravita reale supera il punteggio 6.5 perche SD-WAN Manager e il piano di gestione di tutta la fabric. E l’ottava vulnerabilita Cisco SD-WAN sfruttata nel 2026, alcune attribuite all’APT UAT-8616. Cisco l’ha scoperta internamente e ha rilevato lo sfruttamento a giugno.

(Fonte: Cisco, The Hacker News, SecurityWeek, Security Affairs, CISA KEV)

2. CVE-2026-48907, Joomla JCE: RCE non autenticata (CVSS 10.0)

Vulnerabilita di improper access control nel plugin Joomla Content Editor (JCE), punteggio massimo CVSS v4 10.0. Non e un bug “zero-click” ma una RCE non autenticata: un attaccante senza account puo creare profili editor e arrivare a caricare ed eseguire codice PHP (web shell). Lo sfruttamento e attivo e automatizzato da quando il PoC e diventato pubblico il 9 giugno, al punto che la stessa infrastruttura Joomla e stata colpita. Riguarda JCE dalla 1.0.0 alla 2.9.99.4 (patch dalla 2.9.99.5 del 3 giugno, hardening nelle 2.9.99.6 e 2.9.99.7). CISA l’ha aggiunta al KEV il 16 giugno, con deadline per le agenzie federali al 19 giugno. Attenzione: aggiornare chiude la porta d’ingresso ma non rimuove eventuali web shell gia piazzate.

(Fonte: CISA, The Hacker News, SecurityWeek, CSIRT Italia)

3. CVE-2026-54420, LiteSpeed cPanel Plugin: privilege escalation a root

Vulnerabilita di tipo symlink-following nel plugin cPanel di LiteSpeed Web Server, rilevata in sfruttamento attivo e aggiunta al CISA KEV. Per via della gestione impropria dei link simbolici, un utente con accesso FTP o web shell su un server di hosting condiviso (CloudLinux/CageFS) puo elevare i propri privilegi a root. L’impatto riguarda infrastrutture di web hosting molto diffuse; la patch era gia disponibile ma l’adozione e risultata lenta.

(Fonte: The Hacker News, SecurityWeek, BleepingComputer, CISA KEV, CSIRT Italia)

4. FortiBleed: credenziali esposte per circa 74.000 dispositivi Fortinet

La campagna piu estesa della settimana. Un dataset con credenziali VPN e amministrative (username, email, password) per 73.932 dispositivi FortiGate, circa la meta di tutti i FortiGate raggiungibili da Internet, e stato trovato su un server esposto dal ricercatore Volodymyr “Bob” Diachenko. I dati derivano da export di configurazione, brute-forcing e liste da infostealer, con cracking delle hash piu deboli (vecchio schema SHA-256 ancora presente su molti device non ancora migrati a PBKDF2). Dietro c’e un gruppo criminale russofono multi-operatore che ha condotto credential-spraying industriale (circa 1,16 miliardi di tentativi contro 320.777 target FortiGate, oltre 2 miliardi contro istanze MSSQL), con vittime in 194 paesi e movimento laterale documentato in ambienti Active Directory. CISA ha pubblicato il 18 giugno un alert di hardening (“CISA Urges Hardening Fortinet Devices”); la risposta non e una patch ma rotazione delle credenziali, MFA e rimozione del management dall’esposizione pubblica.

(Fonte: SecurityDiscovery/Diachenko, Help Net Security, Arctic Wolf, SOCRadar, Hudson Rock, BleepingComputer, CISA, CSIRT Italia)

5. Supply chain Mastra AI: attribuita a Sapphire Sleet (BlueNoroff)

Microsoft ha attribuito con alta confidenza al gruppo nordcoreano Sapphire Sleet (BlueNoroff) un attacco supply chain all’ecosistema Mastra AI. L’attacco, avvenuto il 17 giugno e attribuito da Microsoft il 19, ha compromesso oltre 140 pacchetti npm nello scope @mastra tramite il dirottamento dell’account maintainer “ehindero” (un ex contributor il cui accesso non era mai stato revocato). I pacchetti sono stati ripubblicati con una dipendenza malevola, easy-day-js, un typosquat della libreria dayjs che, via hook postinstall, scaricava un infostealer cross-platform (Windows, macOS, Linux) seguito da una backdoor PowerShell. Chiunque abbia eseguito npm install o update nella finestra di compromissione e potenzialmente esposto, anche senza importare i pacchetti nel codice. Notevole: l’attacco non ha avuto alcun CVE assegnato durante lo sfruttamento, un punto cieco per gli scanner basati su CVE.

(Fonte: Microsoft, BleepingComputer, Socket, Orca, SafeDep, The Hacker News)

6. CVE-2026-50656, Microsoft Defender “RoguePlanet”: privilege escalation locale (CVSS 7.8)

Una elevation of privilege nel Microsoft Malware Protection Engine usato da Defender, confermata da Microsoft, che ha assegnato il CVE-2026-50656 e dichiarato che la patch e in sviluppo. Va corretta la portata: Microsoft NON ha confermato sfruttamento attivo. Esiste un PoC pubblico funzionante (rilasciato dal ricercatore Nightmare/Chaotic Eclipse il 10 giugno, subito dopo il Patch Tuesday), ma al momento non ci sono attacchi in-the-wild confermati; Microsoft la classifica come “Exploitation More Likely”. E una escalation locale (race condition TOCTOU) che richiede accesso preesistente sulla macchina, e funziona anche su Windows 10 e 11 completamente patchati, a prescindere dallo stato della protezione in tempo reale. E la quarta falla Defender dello stesso ricercatore (dopo BlueHammer, UnDefend, RedSun).

(Fonte: Microsoft MSRC, BleepingComputer, SecurityWeek, The Hacker News, Security Affairs)

7. CVE-2026-42530 e CVE-2026-42055, NGINX: due flaw critiche (CVSS 9.2)

F5 ha rilasciato patch out-of-band (17 giugno) per due vulnerabilita critiche in NGINX Open Source e Plus, entrambe CVSS v4 9.2: CVE-2026-42530, un use-after-free nel modulo HTTP/3 (ngx_http_v3_module), e CVE-2026-42055, un heap-based buffer overflow nei moduli proxy HTTP/2 e gRPC. Sono sfruttabili da remoto senza autenticazione, ma solo su configurazioni non-default (HTTP/3 abilitato, oppure proxy HTTP/2 con ignore_invalid_headers off e large_client_header_buffers oltre 2 MB). L’impatto primario e il crash del worker (DoS); l’esecuzione di codice e possibile solo dove ASLR e disabilitato o aggirabile. F5 non ha segnalato sfruttamento in-the-wild. Mitigazione rapida: disabilitare HTTP/3 (rimuovere quic dalle direttive listen) o ripristinare le impostazioni header di default.

(Fonte: F5, Security Affairs, The Hacker News, BleepingComputer, CSIRT Italia)

Ransomware e gang attive

The Gentlemen. ESET ha pubblicato (17-18 giugno) un’analisi dettagliata della suite di EDR-killer usata dal gruppo, il cui pezzo centrale e GentleKiller: un framework in-house con almeno otto varianti che, tramite la tecnica BYOVD (bring your own vulnerable driver), raggiunge il kernel e termina oltre 400 processi mappati a 48 prodotti di sicurezza. L’analisi e corroborata da un data leak interno del gruppo di maggio 2026, ed e notevole che sia l’operatore (non l’affiliato) a sviluppare e distribuire l’arsenale. (Fonte: ESET, The Hacker News, Security Affairs)

DragonForce. Il gruppo ha fatto transitare il proprio traffico di comando e controllo attraverso l’infrastruttura di Microsoft Teams, restando non rilevato per circa due mesi. (Fonte: Security Affairs, BleepingComputer)

INC Ransomware. Cresciuto fino a diverse centinaia di vittime dal 2023, ha intensificato il targeting del settore healthcare, occupando lo spazio lasciato dalla disruption di LockBit e dallo shutdown di BlackCat. (Fonte: Dark Reading)

Prinz Eugen. Nuovo ransomware emergente con una logica anti-forense: dà priorita alla cifratura dei file modificati di recente. (Fonte: BleepingComputer)

Vulnerabilita rilevanti per il contesto italiano

Il bollettino CSIRT Italia della settimana ha confermato la risoluzione di vulnerabilita critiche su prodotti presenti in molte infrastrutture italiane:

• Cisco ISE (CVE-2026-20181, CVSS 9.1): RCE che richiede credenziali amministrative valide, con escalation a root; nessuno sfruttamento confermato alla disclosure.
• Apache Shiro: bypass dell’autenticazione nel framework Java.
• Atlassian: aggiornamenti di sicurezza multipli su Bamboo, Jira, Bitbucket e Confluence.
• QNAP: vulnerabilita su QuMagie e License Center per NAS.
• Campagna phishing Fattura Elettronica: PEC con allegati ZIP e pagina HTML malevola.

E proseguita inoltre la campagna di smishing su SEND / pagoPA, con SMS che simulano false sanzioni e richiamano il “Servizio Notifiche Digitali”. (Fonte: ACN CSIRT Italia)

Prospettiva

La settimana mostra due pattern complementari. Da un lato le zero-day su prodotti enterprise (Cisco SD-WAN, Joomla, LiteSpeed) confermano che la finestra tra scoperta e patch viene sfruttata in tempi sempre piu rapidi, spesso entro ore dalla pubblicazione di un PoC. Dall’altro, FortiBleed rappresenta un vettore diverso: non una vulnerabilita tradizionale, ma un patrimonio di credenziali trasformato in superficie d’attacco di massa. Il credential-harvesting su decine di migliaia di dispositivi richiede una risposta che le patch da sole non danno: rotazione delle credenziali, MFA e riduzione dell’esposizione.

La supply chain Mastra AI attribuita a Sapphire Sleet conferma che gli attori nation-state continuano a investire in attacchi indiretti: invece di colpire direttamente le organizzazioni, compromettono gli strumenti che queste usano ogni giorno, in particolare il tooling di sviluppo AI. Per un SOC, il monitoraggio deve estendersi oltre i confini tradizionali: audit delle dipendenze software, verifica dell’integrita dei pacchetti, e attenzione ai casi (sempre piu frequenti) in cui un attacco attivo non ha ancora alcun CVE associato. Detection comportamentale, non solo gestione delle vulnerabilita per punteggio.

Per la prossima settimana, le priorita: stato di patch di Cisco SD-WAN Manager, Joomla JCE, LiteSpeed cPanel e NGINX; rotazione delle credenziali Fortinet e hardening post-FortiBleed; audit npm per le dipendenze @mastra; preparazione alla patch di RoguePlanet; e monitoraggio delle campagne phishing Fattura Elettronica e SEND in corso.

Fonti: Cisco, Microsoft MSRC, F5, Fortinet, Joomla/Widget Factory, ESET, SecurityDiscovery, Help Net Security, Arctic Wolf, SOCRadar, Hudson Rock, Socket, Orca, SafeDep, The Hacker News, BleepingComputer, SecurityWeek, Security Affairs, Dark Reading, CISA, ACN CSIRT Italia