In breve

• Un bug di cross-site scripting (XSS), CVE-2021-26829, in OpenPLC ScadaBR è attivamente sfruttato.
• La falla consente agli aggressori di iniettare codice malevolo nell’interfaccia web del software, colpendo sia le versioni Windows che Linux.
• Il gruppo hacktivista filorusso TwoNet ha violato un honeypot che imitava un impianto idrico sfruttando questa vulnerabilità nel settembre 2025.
• CISA ha ora aggiunto questa falla al suo catalogo delle Vulnerabilità Sfruttate Note (KEV), imponendo una patch urgente alle agenzie federali statunitensi.
• Gli aggressori sfruttano infrastrutture cloud legittime per mascherare i tentativi di exploit, con particolare attenzione ai bersagli brasiliani.

Intrusi industriali: una scena dalle trincee informatiche

Immagina una sala di controllo silenziosa, i monitor che pulsano con il battito vitale di un impianto di trattamento delle acque. All’improvviso, un pop-up inaspettato: “Hacked by Barlati.” Non è finzione hollywoodiana, ma il vero graffito digitale lasciato da TwoNet, un gruppo hacktivista filorusso, mentre mette alla prova i limiti delle difese dei sistemi industriali. Il loro ultimo bersaglio? OpenPLC ScadaBR, un sistema di controllo open source ampiamente utilizzato per la gestione dei processi industriali.

La vulnerabilità: XSS scatenato sulle infrastrutture critiche

CVE-2021-26829 è il nome tecnico di un bug che, in parole semplici, permette agli aggressori di inserire codice malevolo nelle pagine web di cui gli utenti si fidano. In OpenPLC ScadaBR, questa falla si annidava nel file system_settings.shtm, colpendo le versioni fino alla 1.12.4 su Windows e 0.9.1 su Linux. Una volta dentro, gli aggressori possono manipolare l’interfaccia del software-deturpando le schermate di login, disattivando gli allarmi, o peggio. Nel settembre 2025, TwoNet ha sfruttato questo bug non solo per farsi notare, ma per dimostrare quanto facilmente un impianto idrico possa essere compromesso se la porta digitale giusta resta aperta.

Dal DDoS ai dispetti industriali: il manuale TwoNet

TwoNet ha iniziato il suo percorso su Telegram, facendo pratica con attacchi denial-of-service-sommersi di traffico i siti web. Ma con l’evoluzione del gruppo, sono cresciute anche le ambizioni: prendere di mira sistemi industriali, vendere servizi di hacking, stringere alleanze con altre gang informatiche. Nell’incidente dell’honeypot, il gruppo si è mosso rapidamente: ha ottenuto l’accesso con password di default, creato nuovi account utente e sfruttato la falla XSS per lasciare il proprio segno. L’attenzione è rimasta sul livello web, non sui server sottostanti, a dimostrazione di un approccio chirurgico alle operazioni.

Copertura cloud: nascondersi in bella vista

Gli aggressori moderni non hanno sempre bisogno di server oscuri-spesso si appoggiano a piattaforme affidabili come Google Cloud per lanciare i loro attacchi. La società di sicurezza VulnCheck ha rilevato una campagna durata un anno che utilizza servizi cloud per individuare sistemi vulnerabili, soprattutto in Brasile, confondendosi con il traffico regolare. Automatizzando gli attacchi con strumenti pronti all’uso e adattandoli ai bersagli regionali, gli attori delle minacce possono scandagliare e compromettere migliaia di sistemi con il minimo sforzo, lasciando i difensori a rincorrere le patch prima che arrivi la prossima ondata.

Patch o perisci: l’urgenza della risposta

Con l’inserimento di CVE-2021-26829 nel catalogo KEV da parte di CISA, le agenzie federali statunitensi sono in massima allerta, con scadenza a dicembre 2025 per aggiornare i sistemi colpiti. Per gli operatori di infrastrutture critiche, il messaggio è chiaro: le vulnerabilità nei software industriali non sono semplici problemi tecnici-sono porte d’ingresso per avversari globali decisi a interrompere, umiliare o estorcere. Mentre i confini tra hacktivismo, cybercrimine e geopolitica si fanno sempre più sfumati, la vigilanza non è più opzionale; è il prezzo da pagare per sopravvivere in un mondo interconnesso.

WIKICROOK

• Cross: Il Cross-Site Scripting (XSS) è un attacco informatico in cui gli hacker iniettano codice malevolo nei siti web per rubare dati degli utenti o dirottare le sessioni.
• Honeypot: Un honeypot è un sistema fittizio creato per attirare i cybercriminali, permettendo alle organizzazioni di studiare le tecniche di attacco senza mettere a rischio le risorse reali.
• SCADA (Supervisory Control and Data Acquisition): SCADA è un software che monitora e controlla i processi industriali, come impianti idrici o centrali elettriche, raccogliendo e gestendo dati in tempo reale.
• Catalogo delle Vulnerabilità Sfruttate Note (KEV): Il Catalogo KEV è un elenco ufficiale di vulnerabilità software confermate come sfruttate da attaccanti in incidenti informatici reali.
• Infrastruttura cloud: L’infrastruttura cloud è la base online di hardware e software che consente alle aziende di archiviare dati ed eseguire servizi da remoto, non su dispositivi locali.