Vulnerabilità: sfruttamento attivo di vulnerabilità in PHP, Plex, Siemens, Nextcloud e BeyondTrust

Nel corso della settimana, il panorama delle vulnerabilità sfruttate ITW è stato caratterizzato da un’intensificazione delle attività offensive. Particolare rilevanza ha assunto PHP2Shell, denominazione attribuita alle vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2), per le quali il progetto PHP ha rilasciato aggiornamenti straordinari il 21 ottobre 2026.

Le falle, riconducibili rispettivamente a una gestione non sicura delle condizioni di esaurimento della memoria e a una Use-After-Free, consentono, in determinate condizioni, l’esecuzione remota di codice (RCE) senza autenticazione, interessando diverse configurazioni PHP, tra cui Apache con mod_php e PHP-FPM. Le attività offensive hanno registrato una rapida escalation:

Cloudflare ha rilevato migliaia di tentativi prima della divulgazione pubblica, seguiti da decine di migliaia nei primi 45 minuti e da volumi successivamente saliti a milioni, con modifiche dei payload finalizzate a eludere le protezioni.  Secondo Amazon Threat Intelligence, la sua rete honeypot MadPot ha registrato un tentativo di sfruttamento di PHP2Shell il 17 ottobre 2026, quattro giorni prima della divulgazione pubblica delle vulnerabilità. Tale tentativo proveniva da un indirizzo IP associato a un servizio di anonimizzazione commerciale.

Oltre 22,6 milioni di istanze esposte risultano potenzialmente vulnerabili, mentre ulteriori analisi hanno dimostrato la possibilità di ottenere RCE su applicazioni WordPress, Drupal e Joomla e di leggere informazioni sensibili dalla memoria dei processi. Le evidenze disponibili confermano un’intensa attività di sfruttamento, ma non consentono di quantificare le compromissioni effettivamente riuscite. Le vulnerabilità hanno inoltre determinato verifiche di sicurezza su prodotti di terze parti, tra cui PAN-OS e Panorama, e sospensioni precauzionali di servizi istituzionali e aziendali in diversi Paesi.

Parallelamente, è stato documentato lo sfruttamento attivo di Plex2Shell, una catena di quattro vulnerabilità di Plex Media Server tracciate con i codici CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, che combina SSRF, abuso delle funzionalità dei plugin, sottrazione del token amministrativo e scrittura arbitraria di file, consentendo RCE senza autenticazione. Il giorno seguente la pubblicazione di una PoC avvenuta il 16 ottobre, sono stati osservati attacchi contro un honeypot Plex Linux/Docker, culminati nella distribuzione del cryptominer XMRig, eseguito con il nome di processo mylovelyminer, e del proxy/backdoor myawesomeproxy, potenzialmente utilizzabile per instradare traffico attraverso i sistemi compromessi.

Un’ulteriore attività offensiva ha interessato Siemens Software Center, per il quale il vendor ha confermato il 19 ottobre lo sfruttamento di CVE-2026-110936 (CVSS 8.4), una Uncontrolled Search Path Element che consente l’esecuzione di codice attraverso DLL Side-Loading. La falla è stata impiegata nell’ambito di una campagna associata alla piattaforma di distribuzione malware Romulus, basata sulla tecnica ClickFix. Siemens non ha rilevato compromissioni dei propri sistemi o canali ufficiali di distribuzione e non ha comunicato un numero verificato di vittime.

Ulteriori evidenze di sfruttamento ITW hanno riguardato Nextcloud, con la compromissione documentata di un server in Italia a partire dal 10 settembre mediante CVE-2026-110447 (CVSS 9.2), una OS Command Injection nel componente Collabora Online – Built-in CODE Server. La vulnerabilità consente l’esecuzione remota di comandi senza autenticazione quando il server CODE integrato non è in esecuzione. Gli attaccanti hanno installato tre web shell PHP, utilizzate per predisporre l’accesso remoto e ricercare database di password, artefatti di gestori di credenziali e wallet di criptovalute, senza che siano emerse evidenze di accesso ai documenti degli utenti, escalation dei privilegi o movimenti laterali. Significativa è stata inoltre l’attività attribuita al gruppo di matrice cinese UNC5221, responsabile dello sfruttamento di CVE-2026-102764 in BeyondTrust Remote Support, osservato già dal 29 agosto contro una singola istanza SaaS e una singola appliance self-hosted.

La falla, di tipo Improper Origin Validation, consente a un attaccante remoto non autenticato di eseguire operazioni sui file dell’appliance. Le intrusioni documentate hanno comportato il rilascio della web shell SAWFLY, l’ottenimento di privilegi root, l’estrazione di credenziali dal vault, l’installazione del tunneler SOCKS5/WebSocket BARECLAW, la modifica dei ruoli amministrativi per agevolare il movimento laterale e la cancellazione sistematica dei log. La CISA ha inserito nel catalogo KEV CVE-2026-102764 di BeyondTrust il 16 ottobre, le quattro vulnerabilità di Plex2Shell e la CVE-2026-110936 di Siemens il 20 ottobre, stabilendo per le Agenzie dello US Federal Civilian Executive Branch (FCEB) scadenze differenziate per l’applicazione delle correzioni: 19 ottobre per CVE-2026-102764, 23 ottobre per CVE-2026-96654 e CVE-2026-96656, e 3 novembre per CVE-2026-96652, CVE-2026-96655 e CVE-2026-110936.

Infine, ricercatori di sicurezza segnalano il perdurare dei tentativi di sfruttamento di CVE-2026-0257 da parte di operatori ransomware associati a Qilin Team e INC RANSOM Team, identificati rispettivamente come Spikey Scorpius e Tarnished Scorpius. Sulla base di segnalazioni pubbliche, la medesima vulnerabilità viene utilizzata anche dall’operatore ransomware SETTRA.

Threat: cyberspionaggio, supply chain e ransomware

Ricercatori di sicurezza hanno individuato una campagna nominata Operation FlashHole, attribuita al nordcoreano Lazarus Group, attiva da gennaio 2026 contro almeno tre organizzazioni sudcoreane nei settori software, costruzioni e telecomunicazioni. Evoluzione di Operation SyncHole, la campagna utilizza e-mail di spear phishing contenenti collegamenti a falsi siti di résumé e portfolio ospitati su GitHub Pages, sfruttando il software legittimo CrossWeb EX per avviare una catena di infezione prevalentemente in memoria. Questa comprende il downloader CLOUDBURST, che comunica tramite GitHub, i componenti TouchHub e TouchShift per la persistenza, ClientHub, LPEClient e SIDESHOW, impiegato per orchestrare le successive fasi dell’attacco.

Parallelamente, il russo Sofacy è stato associato a una campagna di spionaggio contro organizzazioni di due Paesi NATO, tra cui un’agenzia di law enforcement, un cantiere navale militare e un produttore di motori aeronautici per la difesa. In un’intrusione iniziata il 24 luglio e proseguita almeno fino al 24 settembre, l’attaccante ha sfruttato documenti Word con macro malevole, la backdoor HOOKEDGE, tunnel SSH inversi e tecniche di acquisizione delle credenziali NTLM, distribuendo anche un nuovo reflective loader, ld.exe, per l’esecuzione di payload cifrati in memoria.

Non sono state confermate esfiltrazioni, ma la selezione degli obiettivi risulta coerente con finalità di intelligence militare. Sul fronte della supply chain cloud, una campagna ha coinvolto ConnectWise Cloud Backup (ex SkyKick), servizio utilizzato dai Managed Service Provider (MSP). Attaccanti non identificati hanno sfruttato una credenziale applicativa compromessa per accedere ai tenant Microsoft 365 dei clienti attraverso autorizzazioni OAuth già concesse al servizio. Pochi giorni dopo la pubblicazione della prima analisi, che non aveva fornito informazioni sugli ipotetici autori, ricercatori di sicurezza hanno rivelato che il responsabile è il gruppo allineato allo stato cinese Storm-0940, il quale ha sfruttato ARTEX. Il framework agentico è servito ad accelerare la velocità di abuso delle applicazioni compromesse per autenticarsi negli ambienti target tramite applicazioni a cui era già stato concesso l’accesso, permettendo all’attaccante di operare senza richiedere un accesso interattivo da parte dell’utente.

Nel panorama ransomware, il 20 ottobre CISA, FBI, U.S. Secret Service e autorità di contrasto tedesche e britanniche hanno rilasciato un advisory che delinea tattiche, tecniche e procedure (TTP) dell’operatore SAFEPAY. Attivo da agosto 2024, l’avversario ha colpito oltre 600 target a livello globale. In campo di cyberspionaggio, un’indagine del Citizen Lab dell’Università di Toronto, condotta in collaborazione con la non profit di Belgrado SHARE Foundation, ha rivelato due nuovi casi di targeting con spyware commerciale in Serbia.

L’analisi forense ha accertato che Vladan Đokić, rettore dell’Università di Belgrado, è stato infettato nel 2026 con lo spyware Pegasus, dell’israeliana NSO Group. Rade Bajić, già collaboratore senior della Procura serba per la criminalità organizzata, ha invece ricevuto un avviso Apple relativo a un possibile attacco: per lui non è stata confermata alcuna infezione. Parallelamente, è stata ricostruita una campagna attribuita a un attaccante chiamato CL-UNK-1211, condotta tra ottobre 2025 e aprile 2026 contro entità governative e infrastrutture affiliate a Stati.

L’avversario ha compromesso server Linux mediante web shell, stabilendo persistenza attraverso modifiche alle configurazioni PHP, chiavi SSH e il RAT multipiattaforma SysGoRAT, sviluppato in Go. Le attività hanno incluso furto di credenziali, ricognizione con LinPEAS, impiego di tool associati alle vulnerabilità CVE-2021-4034 e CVE-2025-55182, movimento laterale ed esfiltrazione di database e informazioni di posta elettronica. I payload presentavano inoltre elementi coerenti con l’utilizzo di strumenti di intelligenza artificiale per la generazione di codice malevolo, senza evidenze sufficienti per stabilire il grado di automazione.

Offensive DDoS e ransomware ai danni di realtà italiane

Sulla scia della scorsa settimana, il collettivo filorusso NoName057(16) ha rinnovato il suo interesse per l’Italia. L’avversario ha rivendicato attacchi DDoS contro i seguenti portali: Interporto Padova S.p.A.; Città Metropolitana di Cagliari; Sogedim S.p.A.; Arco Spedizioni S.p.A.; CONFETRA; ALIS; Autorità di Sistema Portuale del Mar Ligure Occidentale (Sportello Unico Amministrativo); Centro Studi Trasformazioni Economico-Sociali (CESTES); Veneto Sviluppo S.p.A.; Trasmar S.r.l.; Dogado S.r.l.; STEF; SUSA S.p.A.; Transadriatica S.r.l. Anche il collettivo Dark Storm Team ha rivendicato offensive DDoS ai danni di portali italiani, quali: Logtainer; Pratiche.it S.r.l.; La Bolgetta (Tempospazio S.r.l.); Ehiweb (Ehinet S.r.l.); SDA Express Courier S.p.A.; Team Shipping Agency S.r.l. Inoltre, il gruppo di presunta matrice sud-asiatica/bengalese BD Anonymous ha rivendicato attacchi ai danni di: Comune di Arzignano; Città Metropolitana di Cagliari; Aeroporto di Firenze (Amerigo Vespucci); e Aeroporto Internazionale di Pisa (Galileo Galilei).

Le azioni sarebbero state condotte come ritorsione contro la posizione attribuita al Governo italiano, accusato di non voler riconoscere la Palestina come Stato, pur mantenendo relazioni diplomatiche con Israele. Infine, il collettivo hacktivista CyberTroll Team ha rivendicato un’offensiva DDoS ai danni del portale del Sistema di informazione per la sicurezza della Repubblica.

Passando al panorama ransomware, Everest Team ha rivendicato la compromissione di Galleria di Base del Brennero – Brenner Basistunnel BBT SE; mentre Qilin Team di Mastelli S.r.l. – Società Benefit e di Coop Italia. Infine, il 21 ottobre 2026 è emersa una rivendicazione attribuita al gruppo hacker DubleDump, secondo cui l’Università del Salento (UniSalento) sarebbe stata compromessa, con la sottrazione di 79.000 record relativi agli studenti.

Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro scopri di più sui servizi di Cyber Threat Intelligence di Telsy.