Caos Zero-Click: la CISA si affanna a contenere l’ondata di falle software sfruttate
Sottotitolo: Agenzie federali e aziende affrontano una corsa contro il tempo mentre gli hacker prendono di mira vulnerabilità critiche di Fortinet, Microsoft e Adobe, ora confermate come attivamente sfruttate.
In un gioco del gatto e del topo informatico ad altissima posta, la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha lanciato l’allarme su sei nuove vulnerabilità software sfruttate, scuotendo i reparti IT di tutto il mondo. La mossa arriva mentre gli attacchi nel mondo reale aumentano, con hacker che sfruttano debolezze in alcuni degli strumenti enterprise più diffusi-la gestione degli endpoint di Fortinet, Windows ed Exchange di Microsoft e Reader di Adobe. Ora il tempo stringe per le organizzazioni: applicare le patch o rischiare violazioni catastrofiche.
L’anatomia di un’emergenza di cybersecurity
La minaccia più grave nell’ultimo avviso della CISA è una falla di SQL injection (CVE-2026-21643) nel FortiClient Enterprise Management Server di Fortinet-uno strumento usato da aziende in tutto il mondo per imporre criteri di sicurezza sui dispositivi dei dipendenti. Ciò che rende questa vulnerabilità particolarmente pericolosa è la sua natura “zero-click”: ai criminali informatici non serve alcun login né accesso precedente, basta una richiesta HTTP ben costruita verso il server esposto. Se va a buon fine, possono eseguire codice arbitrario, prendere il controllo e potenzialmente spingersi più in profondità nella rete aziendale.
La decisione della CISA di aggiungere questa e altre cinque falle al catalogo KEV non è solo una formalità-è un segnale d’allarme che gli attaccanti stanno già trasformando questi bug in armi. Evidenze di supporto della società di threat intelligence Defused Cyber mostrano tentativi di sfruttamento della falla Fortinet in aumento dalla fine di marzo. Nel frattempo, Microsoft ha confermato che il noto gruppo Storm-1175 sta sfruttando una falla separata di Exchange Server (CVE-2023-21529) per diffondere il ransomware Medusa.
L’elenco completo delle nuove voci KEV dipinge un quadro inquietante: i prodotti Windows ed Exchange di Microsoft, il lettore PDF di Adobe popolarissimo a livello globale e perfino componenti legacy come Visual Basic for Applications sono tutti sotto attacco. Le vulnerabilità spaziano dall’escalation di privilegi e dal caricamento insicuro di librerie fino a bug di deserializzazione e use-after-free-ognuno un percorso distinto per gli attaccanti per entrare, aumentare i privilegi o eseguire codice malevolo.
Le agenzie federali sono vincolate a una scadenza operativa per applicare le patch entro pochi giorni, ma il settore privato non è esente. La CISA incoraggia con forza tutte le organizzazioni a seguire la stessa tempistica aggressiva, avvertendo che, se non è possibile applicare le patch, l’unica opzione sicura potrebbe essere interrompere del tutto l’uso del software interessato.
Perché è importante
Questa ondata di sfruttamento sottolinea una dura realtà: nel panorama delle minacce di oggi, anche un solo server non aggiornato può spalancare la porta ad attacchi devastanti. La velocità e la sofisticazione dei cybercriminali moderni lasciano poco margine a ritardi o compiacenza. Con bande ransomware e gruppi sostenuti da Stati entrambi in gioco, il messaggio è chiaro-patch rapide, monitoraggio delle reti per attività sospette e la consapevolezza che, se una falla è nella lista KEV della CISA, è già nel mirino.
TECHCROOK
Per ridurre il rischio legato a vulnerabilità “zero-click” e a campagne ransomware che colpiscono endpoint e server non aggiornati, una soluzione praticabile è un EDR di fascia business come Bitdefender GravityZone Business Security. La piattaforma combina protezione antimalware multilivello, rilevamento comportamentale e prevenzione exploit, con console centralizzata per applicare policy e monitorare eventi su PC Windows e server. Include funzioni utili in scenari di emergenza patching: isolamento del dispositivo, controllo applicazioni e reportistica per individuare rapidamente attività sospette e macchine esposte. Non sostituisce gli aggiornamenti di sicurezza, ma aiuta a contenere compromissioni e movimenti laterali quando una falla è già attivamente sfruttata. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.
WIKICROOK
- SQL Injection: la SQL Injection è una tecnica di hacking in cui gli attaccanti inseriscono codice malevolo negli input degli utenti per indurre un database a eseguire comandi dannosi.
- Esecuzione di codice da remoto (RCE): l’esecuzione di codice da remoto (RCE) si verifica quando un attaccante esegue il proprio codice sul sistema della vittima, spesso arrivando al controllo completo o alla compromissione di quel sistema.
- Escalation di privilegi: l’escalation di privilegi avviene quando un attaccante ottiene accesso di livello superiore, passando da un account utente normale ai privilegi di amministratore su un sistema o una rete.
- Use: in cybersecurity, “use” significa accedere o interagire con una risorsa. Un uso improprio, come l’utilizzo di memoria già liberata, può creare vulnerabilità di sicurezza.
- Deserializzazione: la deserializzazione converte i dati in oggetti di programma utilizzabili. Se non viene eseguita in modo sicuro, può consentire agli attaccanti di iniettare istruzioni dannose nelle applicazioni.
