Vulnerabilità: nuovi sviluppi su PHP2Shell e sfruttamento attivo di falle in Linux, Brotli e prodotti enterprise

Nel corso della settimana, hanno assunto particolare rilevanza gli sviluppi relativi a CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2), note complessivamente come PHP2Shell, per le quali il 24 ottobre sono state documentate 35 esecuzioni di comandi riuscite su tre honeypot configurati con PHP 8.4.26 e Apache mod_php. Le evidenze, ricostruite attraverso la correlazione tra richieste HTTP e processi di sistema, confermano lo sfruttamento effettivo della prima vulnerabilità, senza dimostrare separatamente quello della seconda, e riguardano sistemi esca anziché infrastrutture produttive.

Parallelamente, ricercatori di sicurezza hanno individuato una possibile campagna di ricognizione potenzialmente riconducibile al nordcoreano Lazarus Group, rivolta a infrastrutture governative, finanziarie, industriali e dei trasporti in diversi Paesi. Le attività avrebbero interessato 216 host, attraverso scansioni a basso volume e rotazione degli indirizzi IP, senza evidenze confermate di compromissioni riuscite o elementi sufficienti per un’attribuzione definitiva.

È stato inoltre individuato un toolkit offensivo PHP2Shell nell’infrastruttura dell’avversario kkkkevin777, comprendente script per tentativi automatizzati di sfruttamento, senza prove di intrusioni riuscite. Il 23 ottobre è stata segnalata anche CVE-2026-115560, una nuova vulnerabilità potenzialmente sfruttabile per RCE nella gestione delle sessioni PHP, che richiede una combinazione insolita di configurazioni applicative e non risulta corretta dagli aggiornamenti pubblicati il 21 ottobre.

L’attenzione si è inoltre estesa ai prodotti che incorporano PHP: secondo il monitoraggio del NCSC olandese, al 28 ottobre risultavano 757 prodotti potenzialmente interessati, di cui 216 classificati come vulnerabili, 136 con correzioni disponibili e 364 ancora in fase di verifica. L’ACN ha richiamato l’attenzione sulla necessità di verificare appliance, interfacce amministrative e applicazioni che integrano versioni vulnerabili dell’interprete, mentre Palo Alto Networks ha segnalato attività di sfruttamento contro interfacce di gestione PAN-OS esposte su Internet.

In Italia, una prima ricognizione nazionale ha individuato 285.149 servizi PHP che espongono versioni potenzialmente vulnerabili, mentre è stato registrato un miglioramento nella Pubblica Amministrazione, con una riduzione delle URL potenzialmente vulnerabili da 650 a 467 (-28,2%) e 168 indirizzi inizialmente segnalati che dichiarano ora versioni aggiornate.

Rilevante è stata inoltre la scoperta di una campagna che avrebbe portato alla compromissione di 25 server attraverso lo sfruttamento concatenato di PHP2Shell e CVE-2026-46300, denominata Fragnesia (CVSS 7.8), una falla del kernel Linux che consente l’escalation locale dei privilegi fino a root. Gli attaccanti avrebbero utilizzato un exploit PHP2Shell custom per ottenere RCE sulle interfacce di gestione di firewall Palo Alto Networks PAN-OS, elevare i privilegi e installare web shell persistenti. Le offensive del 23 e 24 ottobre avrebbero interessato 24 firewall e un server interno di gestione tra Stati Uniti, Giappone, Taiwan e Corea del Sud, inclusi tre sistemi associati a un’infrastruttura governativa statunitense. In quest’ultimo ambiente sarebbero stati osservati tunnel SSH inversi, acquisizione di credenziali LDAP e attività di ricognizione su Active Directory, mentre 22 firewall sarebbero rimasti con web shell installate.

L’analisi dell’infrastruttura offensiva ha inoltre individuato Claude Code e una piattaforma denominata aiscan, configurata con i modelli DeepSeek e Kimi, suggerendo un possibile impiego dell’intelligenza artificiale nello sviluppo dei tool malevoli, senza prove dirette del suo utilizzo per la realizzazione degli exploit. Un ulteriore sviluppo ha riguardato CVE-2026-111497 (CVSS 9.2), una Out-of-bounds Write nel decoder di compressione Brotli, nota anche come Node2Shell, HTTP2Shell e Broccoli2Shell. L

a falla interessa diversi ecosistemi software, tra cui Node.js, Python, .NET e PHP su Windows, e può provocare corruzione della memoria, divulgazione di informazioni, Denial of Service o RCE quando applicazioni vulnerabili decomprimono dati controllati da un attaccante. Sono stati dimostrati exploit RCE in laboratorio su Node.js e osservati tentativi di sfruttamento ITW dal 26 ottobre, senza conferme di compromissioni riuscite.

Sul fronte della risposta istituzionale, la CISA ha inserito nel catalogo Known Exploited Vulnerabilities (KEV) otto nuove vulnerabilità, stabilendo per le Agenzie dello US Federal Civilian Executive Branch (FCEB) scadenze differenziate per l’applicazione delle correzioni: 26 ottobre per CVE-2026-110447 di Nextcloud/Collabora Online e CVE-2026-114625 di Arista VeloCloud Orchestrator; 29 ottobre per CVE-2026-109618 e CVE-2026-109619 di PHP2Shell; 31 ottobre per CVE-2026-46300 del kernel Linux; 10 novembre per CVE-2026-48356, denominata PolyShell, di Adobe Commerce/Magento e CVE-2026-111497 di Brotli; 11 novembre per CVE-2026-41709 di VMware ESX.

Quest’ultima, di tipo Insufficient Logging, consente a un attaccante già in possesso di privilegi amministrativi di eseguire determinate operazioni senza che vengano registrate nei log ed è stata sfruttata come 0-day dal gruppo di spionaggio di matrice cinese WARP PANDA, nell’ambito di intrusioni contro organizzazioni statunitensi caratterizzate dall’impiego dei malware BRICKSTORM, TetanusStorm, SharpStorm, DualGauge e GuestConduit.

Arista ha inoltre confermato lo sfruttamento attivo di CVE-2026-114625 (CVSS 9.9), una SQL Injection che consente a utenti autenticati con privilegi minimi di ottenere autorizzazioni elevate sull’orchestratore SD-WAN, mentre PolyShell permette il caricamento non autenticato di file potenzialmente malevoli nelle piattaforme Adobe Commerce e Magento Open Source, con possibili conseguenze sull’integrità dei sistemi e sulle sessioni degli utenti. Infine, Apple ha distribuito aggiornamenti di sicurezza includendo ulteriori correzioni per CVE-2026-86950, una Out-of-bounds Write già corretta il 28 settembre e associata a possibili attacchi altamente sofisticati e mirati contro specifici individui.

APT: operazioni cinesi di cyberspionaggio e crescente impiego dell’intelligenza artificiale

Ricercatori di sicurezza hanno attribuito a Storm-0940 la campagna di compromissione della supply chain di ConnectWise Cloud Backup, già emersa nella settimana precedente. Dal settembre 2026, l’avversario ha utilizzato ARTEX, un framework open-source di penetration testing basato su agenti AI, per automatizzare attacchi contro centinaia di organizzazioni in diversi settori. Tra il 10 e il 14 ottobre, il gruppo ha condotto attività di password spraying contro 327 account di otto organizzazioni, generando oltre 151.000 autenticazioni fallite, senza accessi riusciti.

Dal 15 ottobre, dopo aver ottenuto il controllo delle credenziali di applicazioni multi-tenant ConnectWise, ha sfruttato autorizzazioni OAuth preesistenti per accedere ai tenant Microsoft 365 dei clienti senza autenticazione interattiva e senza attivare i controlli MFA degli utenti. Sono state inoltre osservate attività di ricognizione tramite Microsoft Graph, aggiunta di credenziali applicative per stabilire persistenza e tentativi di modifica di identità, gruppi e ruoli amministrativi.

La stessa infrastruttura è stata individuata anche in attività contro un tenant Okta, nel quale l’attaccante ha creato cinque account tramite registrazione self-service, senza un coinvolgimento di ConnectWise. Un’altra campagna riconducibile a Pechino è stata condotta da BRONZE SANDCASTLE tra agosto 2025 e agosto 2026 contro organizzazioni nelle Filippine, a Taiwan, in Afghanistan e Namibia, con un probabile ulteriore obiettivo in Corea del Sud.

Le intrusioni impiegano DLL Side-Loading attraverso eseguibili legittimi di Sandboxie, utilizzati per caricare una libreria malevola e decifrare un payload contenuto nel file config.ini, che consiste in una backdoor custom con caratteristiche riconducibili a Meterpreter, eseguita interamente in memoria e dotata di componenti derivati da COFFLoader. Sempre sul versante cinese, il 28 ottobre è stata pubblicata un’indagine su Silent Train, un’infrastruttura clandestina utilizzata da Volt Typhoon almeno dal novembre 2023 per condurre operazioni di cyberspionaggio contro organizzazioni statunitensi nei settori telecomunicazioni, governo, difesa, servizi IT e infrastrutture critiche.

L’infrastruttura si basa su catene temporanee di router SOHO, dispositivi IoT e sistemi enterprise compromessi, utilizzati come relay per occultare l’origine degli attacchi attraverso tunnel SSH e strumenti come Chisel. Le connessioni attraversavano fino a sei nodi, raggiungendo le vittime attraverso indirizzi IP statunitensi per aggirare i controlli geografici e reputazionali.

Le analisi hanno identificato quattro campagne 0-day confermate, associate a CVE-2024-39717 in Versa Director, CVE-2025-8875 e CVE-2025-8876 in N-able N-central, CVE-2026-20127 in Cisco Catalyst SD-WAN e CVE-2026-16812 in VeloCloud Orchestrator, oltre a una probabile campagna contro Quest KACE. Le attività hanno interessato prevalentemente organizzazioni in California, Texas e Hawaii, con una selezione degli obiettivi coerente con il mantenimento di accessi strategici a infrastrutture rilevanti in eventuali crisi geopolitiche nell’Indo-Pacifico, senza evidenze di sabotaggio.
Proprio lo sfruttamento di CVE-2026-20127 (CVSS 10.0) è stato osservato anche in una distinta campagna attribuita all’avversario UAT-11473, rivolta a organizzazioni dei settori spaziale, satellitare, aerospaziale, difesa e ricerca sulle politiche pubbliche. Dopo l’accesso iniziale ai sistemi Cisco Catalyst SD-WAN, l’attaccante ha distribuito KeyDrift, un framework malevolo progettato per garantire persistenza e sottrarre informazioni sensibili.

Le analisi condotte hanno rilevato una significativa sovrapposizione tra l’infrastruttura di UAT-11473 e Silent Train, senza tuttavia dimostrare che i due gruppi coincidano. Un’ulteriore operazione di cyberspionaggio riconducibile al panorama cinese ha interessato agenzie diplomatiche in Tagikistan, Uzbekistan e Turkmenistan, attraverso una campagna individuata all’inizio del 2026 e attribuita ad Axiom. L’attività si distingue per l’impiego di BlackX, un bootkit UEFI tecnicamente simile a BlackLotus, progettato per ottenere persistenza a livello di firmware sfruttando CVE-2022-21894 (Baton Drop) e manipolando le protezioni Secure Boot.

A completare il quadro delle attività di cyberspionaggio della settimana, una nuova analisi ha documentato il crescente impiego dell’intelligenza artificiale nelle operazioni APT contro organizzazioni russe dei settori industriale, commerciale, governativo e della difesa. Nel corso del 2026 sono emersi indizi di utilizzo di strumenti AI da parte di otto gruppi, ossia Mythic Likho, HeartlessSoul, Paper Werewolf, PhantomCore, Rezet, Armored Likho, SkyCloak e AITencShell APT.

Le evidenze indicano una crescente integrazione dell’IA nelle attività di ricognizione, sviluppo di strumenti malevoli e automazione delle operazioni offensive, senza tuttavia dimostrare, nei casi analizzati contro organizzazioni russe, la conduzione di attacchi interamente autonomi.

Italia: offensive DDoS e ransomware ai danni di realtà italiane

Nella scorsa settimana il collettivo filorusso NoName057(16) ha rivolto nuovamente la propria attenzione all’Italia prendendo di mira diversi portali, tra cui: Conemar Shipping and Chartering S.r.l.; ALIS; Western Ligurian Sea Port Authority; Transadriatica S.r.l.; Città di Cagliari; Sogedim S.p.A.; CESTES-PROTEO – Center for Economic and Social Transformation Studies; Veneto Sviluppo S.p.A.; STEF Italia S.p.A.; Federazione dei Verdi (Europa Verde); Provincia di Treviso; Comune di Arzignano; Europorte; Confcommercio Palermo; SA.G.E.M. S.r.l.; Ministero delle Infrastrutture e dei Trasporti – Servizio Contratti Pubblici; TechnoAlpin AG; Provincia di Ragusa; Provincia di Trapani; Provincia di Siracusa; Agenzia ICE – Agenzia per la promozione all’estero e l’internazionalizzazione delle imprese italiane; Italian Defence Industries Agency (AID); Leonardo S.p.A.; Provincia di Livorno; FEDESPEDI (Italian Federation of International Freight Forwarding Companies); SCP S.p.A.; Auta Marocchi S.p.A.; Autotrasporti e Spedizioni Barone S.p.A.

Secondo quanto dichiarato, i portali sarebbero stati presi di mira nell’ambito di un’azione di solidarietà con i cittadini scesi in piazza per protestare contro la guerra e il sostegno economico e militare dell’Italia all’Ucraina. Il gruppo ha criticato le politiche di sostegno a Kiev e alla NATO, presentando le offensive come gesti di supporto ai manifestanti italiani. Inoltre, il Paese è stato attaccato nell’ambito di uno «sciopero digitale», diretto contro portali istituzionali e realtà industriali. In supporto a NoName057(16) è intervenuto il gruppo filopalestinese Dark Storm Team che a sua volta ha rivendicato offensive DDoS ai danni di Regione Liguria; Agenzia Industrie Difesa e Port Informer Augusta. Anche il collettivo hacktivista di presunta matrice sud-asiatica/bengalese BD Anonymous ha rivendicato offensive ai danni di Polizia di Stato, Polizia Locale di Ciampino, Raggruppamento Carabinieri Biodiversità e Provincia di Treviso. Le azioni sarebbero state condotte come ritorsione contro la posizione attribuita al Governo italiano, accusato di non voler riconoscere la Palestina come Stato, pur mantenendo relazioni diplomatiche con Israele, nonché contro i presunti abusi commessi dalla Polizia di Stato nei confronti dei manifestanti, anche in relazione a un episodio avvenuto a Mestre.

Passando al panorama ransomware, AuditTeam ha rivendicato sul proprio sito dei leak la compromissione ai danni di Zena Office S.r.l.; LockBit Team di Art School Società Cooperativa Sociale (Dorsi Art School); Aur0ra di Ernesto Malvestiti S.p.A.; The Gentlemen di Spontini Holding S.r.l. e SOME S.r.l.; Everest Team di Natuzzi S.p.A.; EMPERADOR di Twice S.r.l. e La Profumeria S.r.l.; PANZER di PQE Group (Pharma Quality Europe); e sono emersi nuovi dettagli in merito alla compromissione rivendicata da Qilin Team ai danni di Coop Italia, secondo cui la vittima sarebbe riconducibile a Unicoop Etruria Società Cooperativa.

Un utente di un forum underground, identificato con lo pseudonimo Angel_Batista, avrebbe messo in vendita un database contenente informazioni personali relative a circa 1,1 milioni di iscritti alla Federazione Italiana Tennis e Padel (FITP), organismo nazionale responsabile della gestione e della promozione del tennis, del padel e del tennis in carrozzina. La presunta vendita sarebbe stata annunciata inizialmente a metà ottobre 2026, prima di tornare recentemente all’attenzione. Al momento, la FITP non ha confermato alcuna violazione riconducibile alla segnalazione.

Oltre a ciò, sono state osservate in Italia nuove campagne di phishing a tema sanzioni stradali che sfruttano caselle di posta elettronica certificata (PEC) compromesse per distribuire false richieste di pagamento a nome di pagoPA.

Infine, il 27 ottobre 2026 sono emerse informazioni su una serie di attacchi informatici che, nei giorni precedenti, avrebbero colpito i sistemi della Camera dei Deputati, prendendo di mira le caselle e-mail di numerosi parlamentari, tra cui quella assegnata a Giorgia Meloni in qualità di deputata, distinta dall’indirizzo utilizzato per le comunicazioni governative. Secondo fonti di Montecitorio, gli attacchi avrebbero avuto carattere massivo, ma la situazione sarebbe rimasta sotto controllo grazie alle misure di sicurezza adottate.

Alcune ricostruzioni indicano la possibile compromissione di tre caselle riconducibili a Giorgia Meloni, Andrea Delmastro e Paolo Formentini, senza tuttavia conferme tecniche pubbliche. È stata inoltre segnalata un’intensificazione di analoghi tentativi contro altre istituzioni italiane e internazionali. Al momento non risultano accertati l’effettiva portata delle compromissioni, eventuali esfiltrazioni di dati, le tecniche impiegate o l’identità degli attaccanti.

🌍 Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro. Scopri di più sui servizi di Cyber Threat Intelligence di Telsy.