Threat Advisories

Cisco ha rilasciato aggiornamenti di sicurezza che risolvono 24 vulnerabilità presenti in diversi prodotti aziendali, tra cui alcune falle di gravità critica che interessano Catalyst SD-WAN, IOS XE e Secure Firewall Management Center (FMC). La vulnerabilità più grave, CVE-2026-20079, riguarda FMC e presenta un punteggio CVSS pari a 10,0; essa consente ad aggressori remoti non autenticati di aggirare l’autenticazione e ottenere l’accesso a livello di root. Cisco ha inoltre segnalato falle critiche in IOS XE e Catalyst SD-WAN che potrebbero consentire l’iniezione di comandi, l’escalation dei privilegi e l’accesso non autorizzato.

Il 4 agosto 2026, un sofisticato attacco alla catena di approvvigionamento del software, denominato ChainDrop, ha colpito l’ecosistema npm attraverso la compromissione dell’account GitHub di un manutentore dei pacchetti open source Keyv e Cacheable, ampiamente utilizzati . Il worm autopropagante che ne è derivato si è diffuso in oltre 2.251 versioni di 452 pacchetti distinti, con circa 2 miliardi di download mensili, colpendo organizzazioni quali Deliveroo, Ornikar, OneReach, Picsart, Qlik e ServiceTitan.

N-Able ha individuato una vulnerabilità critica nel proprio prodotto N-Central, un dispositivo di gestione remota utilizzato per l'amministrazione IT.

La catena di exploit “wp2shell” rappresenta un evento di sicurezza critico che prende di mira l’architettura fondamentale dell’ecosistema WordPress. Si tratta di una vulnerabilità di esecuzione di codice remoto (RCE) pre-autenticazione che risiede interamente all’interno del core di WordPress. Per essere sfruttata non richiede plugin o temi di terze parti, né un accesso autenticato. Una singola richiesta HTTP appositamente costruita, diretta contro un’installazione predefinita “di serie”, può consentire a un aggressore non autenticato di ottenere il controllo completo del sistema.

I ricercatori nel campo della sicurezza hanno osservato un aumento dell’attività legata ad ACR Stealer, una famiglia di malware per il furto di informazioni associata all’ecosistema Amatera Stealer. Tale attività è stata particolarmente diffusa da fine aprile a metà giugno 2026 e ha compromesso con successo diversi ambienti aziendali.

Check Point ha reso nota e risolto una vulnerabilità critica zero-day, CVE-2026-16232, che interessa la propria piattaforma di gestione SmartConsole. La vulnerabilità consiste in un bypass dell’autenticazione che consente ad aggressori remoti non autenticati di ottenere un token di accesso valido all’applicazione e di autenticarsi con privilegi di amministratore in determinate condizioni. Check Point ha confermato che la vulnerabilità è attualmente oggetto di sfruttamento attivo e ha interessato un numero limitato di clienti.

I ricercatori hanno recentemente reso nota una campagna su larga scala, denominata “FortiBleed”, che comporta la compromissione e la divulgazione delle credenziali associate ai firewall FortiGate e ai dispositivi SSL VPN di Fortinet in contesti globali.

Un recente incidente di sicurezza che ha coinvolto ServiceNow evidenzia un rischio significativo per le aziende che si affidano a piattaforme cloud per la gestione dei flussi di lavoro e dei servizi IT. ServiceNow ha reso noto che una falla nel software, che interessava alcune istanze dei clienti, consentiva l'accesso non autenticato ai dati tramite un endpoint API vulnerabile. Questa condizione aggirava di fatto i controlli di autenticazione, permettendo a soggetti esterni di interrogare i dati archiviati senza credenziali valide.

Le organizzazioni che utilizzano le soluzioni Check Point Remote Access VPN, Mobile Access o Spark Firewall sono invitate a prendere provvedimenti immediati in seguito alla conferma dello sfruttamento attivo di CVE-2026-50751, una vulnerabilità critica di bypass dell'autenticazione. Questa falla, classificata con un punteggio di gravità elevato pari a 9,3, colpisce gli ambienti configurati per l'utilizzo del protocollo di scambio di chiavi IKEv1 deprecato e consente agli aggressori non autenticati di ottenere l'accesso VPN senza credenziali utente valide.

Il 27 maggio 2026 il CISA ha aggiunto tre vulnerabilità al suo catalogo Known Exploited Vulnerabilities (KEV), confermando che sono attivamente sfruttate inattacchi reali.

Sebbene queste vulnerabilità riguardino tecnologie diverse, condividono un tema comune: la compromissione della distribuzione e delle pipeline di sviluppo di software affidabili. A differenza delle vulnerabilità tradizionali che colpiscono i servizi esposti, questi problemi consentono agli aggressori di distribuire codice dannoso attraverso canali legittimi come installatori di software, pacchetti npm e strumenti di sviluppo.