Vulnerabilità: 0-day e falle ITW

Il 28 agosto 2026 PaperCut ha rilasciato una seconda patch di emergenza (Emergency Patch Release 2) per le versioni 24, 25 e 26 in relazione alla vulnerabilità 0-day che interessa PaperCut NG e PaperCut MF, descritta il 27 agosto, chiarendo che non si tratta di una sola falla, ma di due vulnerabilità distinte e concatenate, ora tracciate con codice CVE-2026-81578 (Missing Authentication for Critical Function) e CVE-2026-82078 (Unsafe Reflection). L’exploit chain permette di eseguire codice arbitrario da remoto senza autenticazione.

Il 31 agosto l’agenzia americana CISA ha inserito le due falle nel catalogo KEV, incaricando le Agenzie dello US Federal Civilian Executive Branch (FCEB) di correggerle entro il 14 settembre 2026. Il 2 settembre la CISA ha aggiunto al KEV anche le seguenti altre 7 vulnerabilità sfruttate ITW: CVE-2026-9586 di Sangoma Switchvox; CVE-2026-48710 di Kludex Starlette; CVE-2026-49869 di Kestra OSS; CVE-2026-59822 di BerriAI LiteLLM; CVE-2026-82329 di JFrog Artifactory; CVE-2026-83548 e CVE-2026-83549 di SonicWall SMA1000.

Queste ultime due, rispettivamente una Server-Side Request Forgery (SSRF) e una OS Command Injection, erano già state segnalate come 0-day sfruttate ITW dal PSIRT di SonicWall al momento della loro divulgazione. Infine, Google ha rilasciato nuove versioni di Chrome Desktop, nello specifico la 152.0.7977.82/.83 per Windows e macOS e la 152.0.7977.82 per Linux, che correggono diverse vulnerabilità, tra cui una 0-day per la quale ha dichiarato soltanto di essere a conoscenza dell’esistenza di un exploit ITW.

Tracciata con codice CVE-2026-85046, è una Type Confusion in V8 che interessa le versioni di Google Chrome precedenti alla 152.0.7977.82 e consente a un attaccante remoto di eseguire codice arbitrario all’interno della sandbox tramite una pagina HTML appositamente predisposta. La vulnerabilità è stata scoperta e segnalata il 4 agosto 2026 dal ricercatore di sicurezza Salvatore Gulizia (aka Serotav).

In un’analisi tecnica separata, Gulizia ha descritto la falla come un bug nei compilatori V8 che consente a un array contenente PACKED_ELEMENTS di ricevere la map PACKED_SMI_ELEMENTS; tale condizione può essere sfruttata per ottenere capacità arbitrarie di lettura e scrittura nell’heap JavaScript.

Cybercrime: data breach, rivendicazioni ransomware e operazioni di law enforcement

Il 25 agosto 2026 McKesson Corporation, società statunitense attiva nel settore sanitario e nella distribuzione farmaceutica, ha reso noto di aver subito un accesso non autorizzato ad applicazioni di terze parti con conseguente esfiltrazione di dati, che ha causato malfunzionamenti intermittenti di alcuni servizi, senza tuttavia determinare interruzioni delle attività della società.

Il gruppo cybercriminale ShinyHunters ha rivendicato l’attacco, sostenendo di aver sottratto circa 1 TB di dati tra il 21 e il 25 agosto, comprendenti circa 284 milioni di record relativi a pazienti. Il 27 agosto 2026 Manchester Airports Group (MAG), operatore aeroportuale del Regno Unito e proprietario degli aeroporti di Manchester, London Stansted ed East Midlands, ha reso noto che una terza parte non autorizzata ha ottenuto accesso ai dati dei clienti. L’incidente non ha causato interruzioni operative né ha avuto impatti sulla sicurezza dei passeggeri o dell’aviazione.

Il 30 agosto il gruppo cybercriminale FulcrumSec ha rivendicato l’attacco, sostenendo di aver sottratto circa 86 GB di dati. Il 1° settembre 2026, Dropbox ha confermato la compromissione di circa 5.000 account. Un problema nell’integrazione con Lenovo ID e nel relativo processo di verifica degli indirizzi e-mail ha consentito a soggetti non autorizzati di registrare Lenovo ID utilizzando gli indirizzi e-mail delle vittime e accedere agli account Dropbox associati senza conoscerne la password, qualora privi dell’autenticazione a due fattori di Dropbox.

In meno di un terzo dei casi, gli attaccanti hanno visualizzato o scaricato file presenti negli account compromessi. Il 2 settembre 2026 è stato reso noto un incidente di sicurezza informatica che ha interessato C-Track, piattaforma per la gestione di documenti e fascicoli giudiziari sviluppata dalla multinazionale canadese di servizi informativi e tecnologici Thomson Reuters e utilizzata da diversi sistemi giudiziari negli Stati Uniti e in Canada.

Spostandoci sul versante ransomware, il 28 agosto 2026 Rhysida Team ha rivendicato un attacco alla rete informatica del Land di Berlino, pubblicando la vittima sul proprio sito dei leak; l’amministrazione di Berlino ha successivamente confermato un furto di dati nell’ambito dell’incidente informatico. The Gentlemen ha rivendicato sul proprio sito dei leak la compromissione di Exacta Labcenter S.p.A. e General S.r.l.; INC RANSOM Team di Policlinico Triestino S.p.A.; SETTRA di DiaSorin S.p.A.; Space Bears di Studio Oculistico Ciraci; e Aur0ra di EDIF S.p.A.

Passando in campo law enforcement, il 26 agosto 2026, sotto autorizzazione del tribunale del Southern District of California, il Dipartimento di Giustizia degli Stati Uniti (DOJ) e l’FBI hanno sequestrato tre domini da cui dipendevano due piattaforme complementari, QScan e QTRouter, impiegate congiuntamente come infrastruttura per operazioni di spionaggio e intrusioni. In aggiunta, il 31 agosto 2026 le autorità statunitensi ed europee, in collaborazione con partner del settore privato, hanno condotto un’operazione internazionale contro Sality, botnet peer-to-peer (P2P) attiva da oltre due decenni e utilizzata per distribuire payload malevoli a sistemi compromessi a livello globale.

APT: attività state-sponsored e operazioni di cyberspionaggio

Nel panorama state-sponsored questa settimana sono state portate alla luce quattro diverse attività inerenti a Cina, Iran e Russia. Nel corso del 2026 è stata osservata un’evoluzione delle operazioni di Fire Ant, avversario riconducibile alla Cina monitorato almeno dall’inizio del 2025 e caratterizzato da forti sovrapposizioni con UNC3886.

Dopo le precedenti attività concentrate su ambienti VMware ESXi e vCenter e dispositivi di rete, la campagna ha ampliato il proprio raggio d’azione verso componenti infrastrutturali privilegiati, tra cui router Cisco IOS XR, server TACACS e sistemi Linux di gestione. Spostandoci in Iran, Tortoiseshell ha condotto una campagna di cyberspionaggio mirata al rilascio di due RAT nominati NodeRabbit e PollCat contro i settori dell’aviazione e del fintech in Medio Oriente e Africa.

Passando in Russia, l’avversario UAC-0099, allineato alla Russia e con uno storico di attività di cyberspionaggio contro organizzazioni ucraine, è stato osservato nell’impiego di una nuova tecnica anti-analisi denominata GuardBreaker contro una vittima in Ucraina. La tecnica è progettata per interferire con i workflow che utilizzano Large Language Model (LLM) per supportare l’analisi automatizzata del malware, inducendone i meccanismi di sicurezza a interrompere l’elaborazione del codice malevolo.

Infine, tra fine settembre 2025 e inizio aprile 2026, il russo Sofacy ha condotto campagne contro organizzazioni governative e diplomatiche, nonché realtà del comparto manifatturiero della difesa, in Romania, Spagna e Turchia, utilizzando documenti Microsoft Word con macro per distribuire HOOKEDGE, una backdoor Windows basata su script batch.

A queste attività state-sponsored si affiancano altre operazioni di cyberspionaggio non riconducibili ad alcun governo relative a Serbia, Cina e America Latina. Un’indagine del Citizen Lab dell’Università di Toronto, condotta in collaborazione con SHARE Foundation, ha documentato l’infezione dell’iPhone di un membro del movimento studentesco pro-democrazia serbo con lo spyware Pegasus dell’israeliana NSO Group.

La compromissione, risalente al periodo compreso tra dicembre 2025 e gennaio 2026, sarebbe avvenuta sfruttando un exploit zero-click veicolato attraverso iMessage, che risulta non più efficace a partire da iOS 18.4.1. Nell’ambito delle verifiche sono state confermate anche due distinte infezioni su dispositivi Android con una nuova variante di NoviSpy.

Una campagna orchestrata dal cinese Void Arachne ha distribuito la backdoor ValleyRAT sotto le sembianze di adware. Da ultimo, una recente analisi ha approfondito una campagna associata all’APT sudamericano APT-C-36, ricostruendo parte dell’infrastruttura e del workflow operativo collegati a un loader precedentemente individuato su GitHub. L’indagine parte dall’account cabeto850128, creato nel novembre 2024 e tornato attivo nel maggio 2026 con il repository comicsam.

L’attività è proseguita almeno fino ad agosto 2026 con la creazione di un ulteriore repository.

🌍 Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro  scopri di più sui servizi di Cyber Threat Intelligence di Telsy.