Il nuovo arsenale di Metasploit: accesso root, furtività e caos per Linux e l’enterprise

Nel gioco del gatto col topo, in continua escalation, tra attacco e difesa informatica, Rapid7 ha appena messo in mano ai red team una lama più affilata - e ai blue team un grattacapo più grande. La release di febbraio 2026 del Metasploit Framework è più di un aggiornamento di routine: è una dichiarazione. Con nuovi moduli che prendono di mira tutto, dall’infrastruttura IA di nuova generazione fino ai meccanismi fondamentali dell’accesso remoto in ambito enterprise, le nuove funzionalità sono pronte a ridisegnare i confini di ciò che è possibile nel penetration testing - e nello sfruttamento criminale.

Fatti rapidi

• Metasploit aggiunge exploit RCE root senza autenticazione per Linux e piattaforme enterprise.
• Tra le vulnerabilità critiche prese di mira: Ollama AI (CVE-2024-37032), BeyondTrust PRA/RS (CVE-2026-1731) e Grandstream VoIP (CVE-2026-2329).
• Il primo modulo di evasione Linux in assoluto per ARM64 usa cifratura RC4 e tecniche avanzate sulla memoria.
• Nuovi moduli di persistenza sfruttano i meccanismi di avvio di Windows e WSL.
• I moduli legacy e la stabilità del backend ricevono importanti miglioramenti di qualità della vita.

Il pezzo forte dell’aggiornamento è un exploit devastante per Ollama, una popolare piattaforma di infrastruttura IA. Tracciata come CVE-2024-37032, la falla consente agli attaccanti di abusare del meccanismo di download dei modelli per introdurre di nascosto file malevoli sul sistema host - senza bisogno di autenticazione. Una volta piazzati, questi file permettono agli attaccanti di dirottare il servizio Ollama ed eseguire codice come root. Per le organizzazioni che stanno sperimentando con l’IA, è un campanello d’allarme: anche le piattaforme all’avanguardia possono nascondere vulnerabilità vecchia scuola.

Subito dietro, i prodotti Privileged Remote Access e Remote Support di BeyondTrust sono sotto assedio. I nuovi moduli di Metasploit prendono di mira un grave bug di command injection (CVE-2026-1731) che consente agli attaccanti di eseguire comandi arbitrari da remoto. L’aggiunta di una libreria helper unificata non si limita a snellire lo sfruttamento - estende anche il supporto a falle legacy, rendendo nuovamente pericolose vecchie vulnerabilità.

Nemmeno l’hardware voice-over-IP è al sicuro. I telefoni Grandstream GXP1600, ampiamente usati negli uffici, possono essere costretti a “sputare fuori” accesso root e credenziali tramite un exploit di stack overflow (CVE-2026-2329). I moduli di post-exploitation consentono agli attaccanti di raccogliere credenziali e catturare traffico SIP, aprendo la porta allo spionaggio o ad attacchi di disturbo sulle comunicazioni aziendali.

L’aggiornamento non riguarda solo trovare buchi - riguarda anche restare nascosti. Metasploit ora vanta un modulo di evasione Linux per ARM64, che usa cifratura RC4 ed esecuzione in memoria per scivolare sotto il radar della maggior parte delle difese endpoint. Tattiche basate sullo sleep riducono ulteriormente il rischio di rilevamento da parte degli scanner automatici. Nel frattempo, i moduli di persistenza sia per Windows sia per il Windows Subsystem for Linux (WSL) garantiscono che gli attaccanti possano mantenere il proprio punto d’appoggio, anche dopo riavvii o accessi utente.

Se da un lato questi progressi potenziano penetration tester e difensori, dall’altro alzano la posta per le organizzazioni in ritardo con patching o monitoraggio. I miglioramenti ai moduli legacy e alla stabilità del backend mostrano l’impegno di Rapid7 sia per l’innovazione sia per l’affidabilità - ma fungono anche da promemoria: nella cybersecurity, i bug di ieri non muoiono mai davvero.

Conclusione

L’ultima release di Metasploit è una spada a doppio taglio - arma i buoni, ma tenta i cattivi. Mentre la linea tra ricerca e attacco nel mondo reale si fa sempre più sfumata, le organizzazioni devono muoversi più velocemente che mai per applicare patch, monitorare e adattarsi. L’aggiornamento di questo mese dimostra una cosa: nel sottosuolo digitale, la compiacenza è la più grande vulnerabilità di tutte.

WIKICROOK

• Esecuzione di codice da remoto (RCE): L’esecuzione di codice da remoto (RCE) si verifica quando un attaccante esegue il proprio codice sul sistema della vittima, spesso arrivando al controllo completo o alla compromissione di quel sistema.
• Path Traversal: Il Path Traversal è una falla di sicurezza in cui gli attaccanti manipolano i percorsi dei file per accedere a file o dati al di fuori dei confini previsti di un sistema.
• Command Injection: La Command Injection è una vulnerabilità in cui gli attaccanti ingannano i sistemi inducendoli a eseguire comandi non autorizzati inserendo input malevoli in campi utente o interfacce.
• Persistenza: La persistenza comprende tecniche usate dal malware per sopravvivere ai riavvii e restare nascosto sui sistemi, spesso imitando processi o aggiornamenti legittimi.
• Cifratura RC4: La cifratura RC4 è un metodo obsoleto e insicuro per offuscare i dati, oggi considerato vulnerabile agli hacker e non raccomandato per l’uso moderno.