Attori sconosciuti sfruttano falle critiche in SonicWall, Sangoma Switchvox, JFrog Artifactory, Kestra OSS e Berri LiteLLM per ottenere accessi amministrativi, eseguire reverse shell e installare crypto miner. CISA ordina aggiornamenti rapidi alle agenzie federali.
Reverse shell, mining di criptovalute e accessi amministrativi non autorizzati: la nuova ondata di attacchi informatici colpisce direttamente il cuore delle infrastrutture AI e cloud, costringendo la U.S. Cybersecurity and Infrastructure Security Agency (CISA) a imporre patch immediate su sette vulnerabilità già sfruttate attivamente.
Le falle, ora inserite nel catalogo Known Exploited Vulnerabilities, non sono semplici bug: permettono a cybercriminali di prendere il controllo di sistemi SonicWall, Sangoma Switchvox, JFrog Artifactory, Kludex Starlette, Kestra OSS e Berri LiteLLM, spesso senza nemmeno autenticazione. In particolare, CVE-2026-83548 e CVE-2026-49869 raggiungono il massimo livello di gravità (CVSS 10.0), consentendo l'esecuzione remota di comandi e la creazione di workflow arbitrari.
AI e cloud sotto assedio: come agiscono gli attaccanti
Le tecniche osservate sono tutt'altro che teoriche. Microsoft ha documentato casi in cui, sfruttando le falle di Kestra OSS e LiteLLM, gli aggressori hanno stabilito reverse shell, eseguito discovery su ambienti Docker, eluso i sistemi di difesa e installato miner XMRig tramite binari ELF. L'obiettivo? Monetizzare i server compromessi e sottrarre dati sensibili, inclusi API key, configurazioni di modelli AI e credenziali di provider upstream.
Horizon3.ai e watchTowr hanno confermato che le vulnerabilità di Sangoma Switchvox (CVE-2026-9586) e JFrog Artifactory (CVE-2026-82329) sono già state sfruttate per ottenere reverse shell e token amministrativi, permettendo la mappatura di utenti, gruppi e topologie di accesso federato. In parallelo, Google-owned Wiz ha collegato la catena di exploit su LiteLLM (CVE-2026-42271 e CVE-2026-48710) a operatori ransomware Qilin, che puntano a bypassare l'autenticazione e ottenere esecuzione di codice remoto.
Non si tratta solo di accessi temporanei: gli attaccanti implementano meccanismi di persistenza, comando e controllo, e sofisticate tecniche di evasione, sfruttando anche informazioni raccolte da database PostgreSQL per accedere a tabelle critiche e rubare chiavi virtuali e metadati dei modelli AI.
Impatto operativo e risposta delle agenzie
Il rischio non è confinato agli ambienti di test. Le agenzie federali statunitensi devono applicare le patch per tutte le vulnerabilità (tranne CVE-2026-48710 e CVE-2026-59822) entro il 5 settembre 2026, mentre per le falle Starlette e LiteLLM la scadenza è fissata al 16 settembre. Il mancato aggiornamento espone a compromissioni sistemiche, con la possibilità di furto di dati, interruzione dei servizi e danni economici diretti.
La pressione su chi gestisce infrastrutture AI e cloud è altissima: la superficie d'attacco si espande, e le tecniche di post-exploitation diventano sempre più AI-native, con attori che puntano a prompt injection cieche e monetizzazione tramite mining illecito. Non sorprende che, come riportato recentemente, anche i driver di sistema vengano sfruttati per aggirare le difese tradizionali.
Il vero bersaglio: l'infrastruttura AI
Dietro la corsa alle patch si nasconde una realtà scomoda: l'infrastruttura AI, spesso costruita su stack open source e servizi cloud, è diventata il bersaglio preferito per chi cerca accessi privilegiati e dati ad alto valore. L'esposizione di endpoint come RAGFlow e la presenza di vulnerabilità in componenti chiave come Kestra OSS e Berri LiteLLM offrono agli attaccanti una porta d'ingresso privilegiata, spesso trascurata dai team di sicurezza focalizzati su minacce più tradizionali.
La rapidità con cui queste vulnerabilità sono state sfruttate dimostra che la sicurezza "by design" resta un miraggio per molte piattaforme AI e DevOps. L'inerzia nel patching, la complessità delle dipendenze e la sottovalutazione del rischio AI-native stanno creando un ecosistema dove la criminalità informatica può muoversi con sorprendente agilità. Chi gestisce infrastrutture critiche non può più permettersi di ignorare la sicurezza delle componenti AI: la posta in gioco non è solo la continuità operativa, ma la sopravvivenza stessa dell'ecosistema digitale.
