Bollettino Settimanale — 20-26 Luglio 2026

Sommario

Questa settimana il panorama delle minacce ha visto un’escalation significativa: da zero-day attivamente sfruttati su appliance VPN e suite di collaborazione a vulnerabilità critiche su SharePoint che stanno già venendo attivamente in rete. Il filo conduttore è la convergenza tra infrastrutture critiche e AI — sia come vettore di attacco che come strumento. Le organizzazioni italiane sono state toccate da advisory CSIRT su prodotti enterprise e da campagne di smishing contro Trenitalia.

Le notizie principali

1. CVE-2026-50522 — SharePoint Server RCE (CVSS 9.8)

Vulnerabilità critica di deserializzazione di dati non attendibili in Microsoft SharePoint Server, patchata nel Patch Tuesday di luglio 2026. Da quando è stato pubblicato il PoC pubblico, watchTowr ha rilevato sfruttamento attivo: gli attaccanti stanno rubando machine keys per mantenere l’accesso anche dopo la patch.

• Fonte: The Hacker News, Security Affairs, BleepingComputer

2. CVE-2026-16232 — Check Point SmartConsole Auth Bypass (CVSS 9.3)

Vulnerabilità critica di bypass dell’autenticazione in Check Point SmartConsole, sfruttata attivamente in rete. CISA l’ha aggiunta al KEV catalog. Colpisce Security Management e Multi-Domain Management. Il vendor ha rilasciato patch urgenti. CSIRT Italia ha confermato rilevazioni di sfruttamento attivo.

• Fonte: Security Affairs, The Hacker News, BleepingComputer, CSIRT Italia

3. Zimbra Zero-Click — Campaign Laundry Bear / Void Blizzard

Gruppo di intelligence russo ha sfruttato una vulnerabilità zero-click in Zimbra Collaboration Suite per leggere mail, directory, password salvate nel browser e codici 2FA recovery. Basta aprire o visualizzare il messaggio per essere compromessi. Target: organizzazioni USA e Ucraina. Advisory congiunta NSA/CISA.

• Fonte: The Hacker News, BleepingComputer, Dark Reading, CISA Alerts, Unit 42

4. CVE-2026-64600 — RefluXFS Linux Kernel (Local Root)

Race condition di 9 anni nell’XFS copy-on-write path del kernel Linux. Permette escalation da utente non privilegiato a root su RHEL, Fedora Server, Amazon Linux. Qualys ha dimostrato l’exploitabilità su installazioni default, anche con SELinux in Enforcing mode.

• Fonte: The Hacker News, BleepingComputer, SOC Prime

5. SonicWall SMA 1000 — Zero-day sfruttato per push malware

Due vulnerabilità recentemente disclose su appliance VPN SonicWall SMA 1000 sfruttate in zero-day per settimane, consentendo installazione di malware custom. Volexity ha scoperto la campagna che ha iniziato a colpire il 22 giugno 2026.

• Fonte: Security Affairs, Volexity, BleepingComputer

6. CVE-2026-6875 — ServiceNow AI Platform RCE (CVSS 9.5)

Sandbox escape nella piattaforma AI di ServiceNow, sfruttata in the wild dal 17 luglio. Patch self-hosted disponibili da giugno. Gli attaccanti usano una gadget chain diversa dal PoC pubblico. Istanze self-hosted da aggiornare con urgenza.

• Fonte: ICT Security Magazine, The Hacker News, Security Affairs

7. WP2Shell — WordPress RCE in chaining attivo

Due vulnerabilità critiche combinate in WordPress Core (CVE-2026-60137 + CVE-2026-63030) che abilitano RCE non autenticato e compromissione completa dei siti. Gli attaccanti stanno installando webshell persistenti e plugin malevoli. Disclosure recente, sfruttamento entro 3 giorni.

• Fonte: The Hacker News, BleepingComputer, Dark Reading

Ransomware e gang attive

ENCFORGE — Target AI/ML

Nuovo ransomware Go compilato progettato per crittificare model weights, vector indexes, training datasets e altri file di infrastruttura AI. Collegato all’operatore JADEPUFFER che ha attaccato server Langflow.

• Fonte: The Hacker News

Chaos Ransomware — msaRAT

Nuovo implant Rust-based che instradava il C2 attraverso Chrome/Edge headless usando il Chrome DevTools Protocol. Il malware non apre connessioni dirette: si appoggia al browser della vittima. Analizzato da Cisco Talos.

• Fonte: The Hacker News, Security Affairs, BleepingComputer

Fairlife — Gruppo Anubis

Il gruppo ransomware Anubis ha rivendicato l’attacco contro Fairlife, azienda lattiero-casearia di proprietà di Coca-Cola. L’attacco ha causato sospensione delle produzioni negli USA. I criminali minacciano di pubblicare i dati sottratti.

• Fonte: CyberSecItalia

Stadler Rail — Everest

Produttore svizzero di veicoli ferroviari ha rifiutato richiesta di $12.3M dal gruppo Everest dopo breach su piattaforma di scambio dati con fornitore.

• Fonte: BleepingComputer

Vulnerabilità rilevanti per il contesto italiano

CSIRT Italia — Advisory multiple

Il CSIRT Italia ha pubblicato advisory su:

• Oracle Critical Patch Update: 210 vulnerabilità critiche, 539 alte su più prodotti
• ISC BIND: 9 vulnerabilità (7 alte) nel prodotto BIND 9
• SolarWinds Serv-U: 16 vulnerabilità (15 critiche)
• Check Point CVE-2026-16232: rilevato sfruttamento attivo in rete
• Vulnerabilità in prodotti Fortinet: gravità “alta”
• Vulnerabilità in driver ASUS: elevazione privilegi locale
• Vulnerabilità in Grafana: accesso informazioni sensibili
• Vulnerabilità in Zyxel: esecuzione remota di codice

• Fonte: CSIRT Italia (acn.gov.it)

Smishing Trenitalia

Campagna SMS per carpire dati carta di pagamento, diretta contro utenti Trenitalia.

• Fonte: CSIRT Italia

Cyber stress test Bankitalia

La Banca d’Italia chiede agli istituti di valutare l’esposizione ai rischi AI, individuare carenze nei sistemi e definire interventi entro il 31 dicembre.

• Fonte: CyberSecItalia

ACN — AI cyber per infrastrutture critiche

La vice direttrice generale Ciardi conferma l’interesse dell’ACN verso AI cyber per la protezione delle infrastrutture critiche. Interlocuzioni in corso con Anthropic e OpenAI.

• Fonte: CyberSecItalia

Prospettiva

La settimana evidenzia due trend strutturali. Primo: la superficie di attacco si sta spostando verso le piattaforme AI — da ServiceNow a Langflow, da ENCFORGE a Claude Cowork, fino al caso OpenAI-Hugging Face dove i modelli hanno sfruttato autonomamente zero-day. Le difese tradizionali non sono calibrate per questo tipo di minacce. Secondo: le vulnerabilità zero-click e le RCE attivamente sfruttate su prodotti enterprise (SharePoint, Zimbra, Check Point) dimostrano che il tempo tra patch e sfruttamento attivo si sta riducendo a ore. L’ordine CISA su patchare urgentemente Langflow è solo l’ultimo di una serie. Per un SOC, la priorità resta la visibilità sulle istanze self-hosted e la segmentazione delle reti di gestione.