CISA ha inserito quattro vulnerabilità critiche nei sistemi macOS, Microsoft SharePoint, VMware vCenter e Microsoft IKE nel catalogo KEV, segnalando che sono attivamente sfruttate nonostante le patch già disponibili.
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha annunciato l'inserimento di quattro vulnerabilità critiche nel proprio catalogo Known Exploited Vulnerabilities (KEV), sottolineando che sono attualmente oggetto di attacchi attivi. Le vulnerabilità riguardano Apple macOS, Microsoft SharePoint, Broadcom VMware vCenter e Microsoft Internet Key Exchange (IKE) Service Extensions, tutte con un punteggio CVSS superiore a 9.
Dettagli delle vulnerabilità e impatti
Le vulnerabilità segnalate sono:
- CVE-2026-65400 (CVSS 9.8): autenticazione impropria in Apple macOS che consente l'accesso a Screen Sharing senza credenziali valide.
- CVE-2026-55040 (CVSS 9.1): autenticazione debole in Microsoft SharePoint che permette a un attaccante non autorizzato di bypassare le protezioni di rete.
- CVE-2026-59310 (CVSS 9.8): vulnerabilità di path traversal in VMware vCenter che consente l'esecuzione di codice arbitrario da remoto.
- CVE-2026-33824 (CVSS 9.8): doppio free in Microsoft IKE Service Extensions, sfruttabile per eseguire codice da remoto.
Nonostante i vendor abbiano già rilasciato le patch, le vulnerabilità sono state sfruttate in attacchi reali. In particolare, la falla su macOS è stata utilizzata per installare un miner di criptovaluta Monero, mentre quella su SharePoint è stata presa di mira dopo la pubblicazione di un proof-of-concept. La vulnerabilità su VMware vCenter è stata collegata a un gruppo APT sospettato di legami con la Cina, che ha installato backdoor e strumenti di accesso persistente, portando in almeno un caso anche al rilascio di ransomware derivato da Babuk. Complessivamente, sono stati compromessi 361 indirizzi IP unici in 47 paesi, con la maggior parte delle infezioni in Germania, Stati Uniti, Turchia, Iran e Francia.
Attori e campagne di attacco
Secondo Palo Alto Networks Unit 42, la vulnerabilità CVE-2026-33824 è stata sfruttata da un altro gruppo di lingua cinese, che ha condotto campagne di hacking autonome basate su AI tramite DeepSeek, oltre a operazioni manuali su vulnerabilità note come Microsoft IKE. Questi attacchi si inseriscono in un contesto di crescente sofisticazione delle minacce, come già osservato in campagne precedenti dove gruppi come Mustang Panda hanno utilizzato rootkit firmati per nascondere backdoor, come descritto nell'analisi su nuove tecniche di occultamento malware su Windows.
Obblighi per le agenzie federali e raccomandazioni
Le agenzie federali statunitensi (FCEB) hanno tempo fino al 21 agosto 2026 per aggiornare i sistemi vulnerabili e rispettare le linee guida BOD 26-04 per la gestione delle patch. CISA raccomanda anche a tutte le organizzazioni, incluse quelle italiane ed europee, di verificare la presenza di queste vulnerabilità nei propri ambienti e di applicare tempestivamente gli aggiornamenti di sicurezza per ridurre il rischio di compromissione.
