← Osservatorio CellulareSicuro
Periodo: dal 1 luglio 2026 al 30 settembre 2026. Dati calcolati il 4 ottobre 2026.
In breve
Nel terzo trimestre 2026 100 vulnerabilità sono entrate nel catalogo CISA delle falle già sfruttate dagli attaccanti; CSIRT Italia ha pubblicato 402 avvisi di sicurezza, 36 dei quali segnalano un attacco già in corso.
- Catalogo CISA: 100 nuove vulnerabilità (luglio 26, agosto 31, settembre 43); 6 sono usate in campagne di ransomware note.
- CSIRT Italia: 402 avvisi; 36 su falle già sfruttate, 35 con codice d’attacco dimostrativo già pubblico (PoC).
- Almeno 31 delle 100 vulnerabilità del catalogo CISA compaiono, con lo stesso codice CVE, anche in un avviso del CSIRT Italia del trimestre.
- CERT Polska (Polonia): 64.943 nuovi siti di phishing nella sua lista pubblica.
Sono misure diverse e restano separate: il catalogo CISA conta vulnerabilità, il CSIRT Italia conta avvisi (un avviso può riguardare più falle e una falla può avere più avvisi), le liste dei CERT contano siti.
1. Il catalogo CISA delle vulnerabilità già sfruttate
L’agenzia americana per la cybersicurezza (CISA) tiene un catalogo pubblico delle vulnerabilità che sono state usate davvero in attacchi (Known Exploited Vulnerabilities). È il riferimento più usato per decidere quali aggiornamenti installare per primi.
| Mese | Vulnerabilità entrate nel catalogo |
|---|---|
| Luglio | 26 |
| Agosto | 31 |
| Settembre | 43 |
| Trimestre | 100 |
Lo stesso conteggio negli ultimi 5 trimestri:
| Trimestre | Vulnerabilità entrate nel catalogo |
|---|---|
| Terzo trimestre 2025 | 51 |
| Quarto trimestre 2025 | 62 |
| Primo trimestre 2026 | 71 |
| Secondo trimestre 2026 | 75 |
| Terzo trimestre 2026 | 100 |
- Il terzo trimestre 2026 ha il valore più alto dei 5 trimestri in tabella.
- 86 delle 100 hanno un codice CVE del 2026; le altre 14 hanno codici di anni precedenti.
- Per 6 vulnerabilità CISA indica l’uso in campagne di ransomware note.
- I produttori con più vulnerabilità nel trimestre: Microsoft (12), Cisco (7), Linux (5), Citrix (4), JFrog (4), Fortinet (4), SonicWall (4), MikroTik (3).
- I prodotti con più vulnerabilità: Linux Kernel (5), Microsoft SharePoint (4), JFrog Artifactory (4), SonicWall SMA1000 Appliances (4), Citrix NetScaler (3), MikroTik RouterOS (3).
Le 100 vulnerabilità del trimestre, una per una
| Data | Codice CVE | Produttore e prodotto | Ransomware |
|---|---|---|---|
| 01/07 | CVE-2026-45659 | Microsoft SharePoint Server | sì |
| 07/07 | CVE-2026-48282 | Adobe ColdFusion | |
| 07/07 | CVE-2026-48908 | JoomShaper SP Page Builder | |
| 07/07 | CVE-2026-55255 | Langflow | |
| 07/07 | CVE-2026-56290 | Joomlack Page Builder | |
| 10/07 | CVE-2026-48939 | iCagenda | |
| 10/07 | CVE-2026-56291 | Balbooa Forms | |
| 13/07 | CVE-2008-4128 | Cisco IOS | |
| 14/07 | CVE-2026-15409 | SonicWall SMA1000 Appliances | sì |
| 14/07 | CVE-2026-15410 | SonicWall SMA1000 Appliances | sì |
| 14/07 | CVE-2026-56155 | Microsoft Active Directory Federation Services | |
| 14/07 | CVE-2026-56164 | Microsoft SharePoint Server | |
| 15/07 | CVE-2023-4346 | KNX Association KNX Protocol Connection Authorization Option 1 | |
| 15/07 | CVE-2026-46817 | Oracle E-Business Suite | |
| 16/07 | CVE-2026-25089 | Fortinet FortiSandbox | |
| 16/07 | CVE-2026-39808 | Fortinet FortiSandbox | |
| 16/07 | CVE-2026-58644 | Microsoft SharePoint | |
| 21/07 | CVE-2021-27137 | DD-WRT | |
| 21/07 | CVE-2026-0770 | Langflow | |
| 21/07 | CVE-2026-60137 | WordPress Core | |
| 21/07 | CVE-2026-63030 | WordPress Core | |
| 22/07 | CVE-2026-16232 | Check Point SmartConsole | |
| 22/07 | CVE-2026-50522 | Microsoft SharePoint | |
| 27/07 | CVE-2025-68686 | Fortinet FortiOS | |
| 27/07 | CVE-2026-16812 | Arista VeloCloud Orchestrator | |
| 29/07 | CVE-2026-20316 | Cisco Secure Firewall Management Center (FMC) | sì |
| 03/08 | CVE-2026-18577 | N-able N-central | |
| 04/08 | CVE-2026-18556 | N-able N-central | |
| 04/08 | CVE-2026-34486 | Apache Tomcat | |
| 04/08 | CVE-2026-9198 | IBM Langflow | |
| 05/08 | CVE-2026-63077 | JetBrains TeamCity | sì |
| 07/08 | CVE-2026-8037 | Progress LoadMaster | |
| 11/08 | CVE-2026-20349 | Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) | |
| 11/08 | CVE-2026-68820 | Microsoft Windows Ancillary Function Driver for WinSock | |
| 11/08 | CVE-2026-72898 | Metabase | |
| 17/08 | CVE-2025-62593 | Ray-Project Ray | |
| 18/08 | CVE-2026-33824 | Microsoft Internet Key Exchange (IKE) Service Extensions | |
| 18/08 | CVE-2026-55040 | Microsoft SharePoint | |
| 18/08 | CVE-2026-59310 | Broadcom VMware vCenter | sì |
| 18/08 | CVE-2026-65400 | Apple macOS | |
| 19/08 | CVE-2026-64849 | MLflow | |
| 20/08 | CVE-2026-72529 | TrueConf Server | |
| 20/08 | CVE-2026-72530 | TrueConf Server | |
| 21/08 | CVE-2026-73570 | Synacor Zimbra Collaboration Suite (ZCS) | |
| 24/08 | CVE-2026-21962 | Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in | |
| 25/08 | CVE-2026-60004 | Gitea | |
| 26/08 | CVE-2015-3246 | Red Hat Libuser | |
| 26/08 | CVE-2015-5287 | Red Hat Automatic Bug Reporting Tool | |
| 26/08 | CVE-2019-1068 | Microsoft SQL Server | |
| 26/08 | CVE-2021-23758 | Ajax.NET Professional | |
| 26/08 | CVE-2022-0995 | Linux Kernel | |
| 26/08 | CVE-2026-8452 | Citrix NetScaler ADC and NetScaler Gateway | |
| 27/08 | CVE-2023-49105 | ownCloud | |
| 27/08 | CVE-2026-53362 | Linux Kernel | |
| 27/08 | CVE-2026-66384 | JFrog Artifactory | |
| 31/08 | CVE-2026-81578 | PaperCut NG/MF | |
| 31/08 | CVE-2026-82078 | PaperCut NG/MF | |
| 02/09 | CVE-2026-48710 | Kludex Starlette | |
| 02/09 | CVE-2026-49869 | Kestra OSS | |
| 02/09 | CVE-2026-59822 | BerriAI LiteLLM | |
| 02/09 | CVE-2026-82329 | JFrog Artifactory | |
| 02/09 | CVE-2026-83548 | SonicWall SMA1000 Appliances | |
| 02/09 | CVE-2026-83549 | SonicWall SMA1000 Appliances | |
| 02/09 | CVE-2026-9586 | Sangoma Switchvox | |
| 04/09 | CVE-2026-85046 | Google Chromium V8 | |
| 08/09 | CVE-2026-75650 | Adobe Commerce and Magento | |
| 08/09 | CVE-2026-81963 | Microsoft Windows | |
| 08/09 | CVE-2026-85880 | Microsoft Windows | |
| 08/09 | CVE-2026-86218 | N-able N-central | |
| 09/09 | CVE-2025-25249 | Fortinet Multiple Products | |
| 09/09 | CVE-2026-19490 | Citrix NetScaler | |
| 09/09 | CVE-2026-20079 | Cisco Secure Firewall Management Center (FMC) and Security Cloud Control (SCC) Firewall Management | |
| 09/09 | CVE-2026-87491 | Google Chromium V8 | |
| 10/09 | CVE-2026-67277 | MikroTik RouterOS | |
| 10/09 | CVE-2026-86060 | MikroTik RouterOS | |
| 11/09 | CVE-2026-42016 | JFrog Artifactory | |
| 11/09 | CVE-2026-42018 | JFrog Artifactory | |
| 11/09 | CVE-2026-84869 | ConnectWise ScreenConnect | |
| 11/09 | CVE-2026-85706 | GitLab Community Edition and Enterprise Edition | |
| 14/09 | CVE-2026-76461 | Cisco Secure Email Gateway | |
| 16/09 | CVE-2026-58704 | Google Pixel | |
| 16/09 | CVE-2026-76460 | Cisco Identity Services Engine | |
| 16/09 | CVE-2026-87886 | Acronis Backup | |
| 18/09 | CVE-2025-39682 | Linux Kernel | |
| 18/09 | CVE-2025-39964 | Linux Kernel | |
| 18/09 | CVE-2026-53266 | Linux Kernel | |
| 21/09 | CVE-2026-7273 | Zyxel GS1900 Series Switches | |
| 22/09 | CVE-2026-85102 | Check Point Multiple Products | |
| 22/09 | CVE-2026-93616 | Check Point Multiple Products | |
| 22/09 | CVE-2026-93952 | Arista VeloCloud Orchestrator | |
| 22/09 | CVE-2026-94127 | F5 BIG-IP APM | |
| 24/09 | CVE-2026-5430 | WSO2 Multiple Products | |
| 24/09 | CVE-2026-71362 | Adobe Commerce and Magento | |
| 25/09 | CVE-2026-65660 | Microsoft SharePoint | |
| 25/09 | CVE-2026-67279 | MikroTik RouterOS | |
| 25/09 | CVE-2026-87902 | WordPress Core | |
| 27/09 | CVE-2026-88771 | Citrix NetScaler | |
| 27/09 | CVE-2026-88772 | Citrix NetScaler | |
| 29/09 | CVE-2026-86950 | Apple Multiple Products | |
| 30/09 | CVE-2026-76504 | Cisco Catalyst SD-WAN Manager |
2. Gli avvisi del CSIRT Italia
Ogni giorno lavorativo lo CSIRT Italia, la squadra di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, pubblica avvisi su vulnerabilità, aggiornamenti e campagne di attacco (www.csirt.gov.it).
| Mese | Avvisi |
|---|---|
| Luglio | 110 |
| Agosto | 142 |
| Settembre | 150 |
| Trimestre | 402 |
| Che cosa segnala l'avviso | Avvisi |
|---|---|
| Una falla già sfruttata dagli attaccanti | 36 |
| Un codice d’attacco dimostrativo già pubblico (PoC) | 35 |
| Altro: aggiornamenti, vulnerabilità risolte, campagne, riepiloghi | 331 |
I produttori che ricorrono di più negli avvisi: Google (22), Cisco (10), Adobe (9), GitLab (8), MongoDB (8), IBM (7), Mozilla (7), Siemens (7), WordPress (7), Dell (7).
I 36 avvisi su falle già sfruttate
- 08/07 — Langflow: rilevato lo sfruttamento in rete della CVE-2026-55255
- 14/07 — Mozilla: rilevato sfruttamento attivo di nuove vulnerabilità
- 15/07 — SonicWall: rilevato sfruttamento attivo di nuove vulnerabilità
- 16/07 — Aggiornamenti Mensili Microsoft
- 23/07 — CheckPoint: rilevato sfruttamento in rete della CVE-2026-16232
- 30/07 — Rilevato sfruttamento di vulnerabilità in prodotto Cisco
- 04/08 — N-able: rilevato sfruttamento attivo in rete della CVE-2026-18577
- 06/08 — Risolte vulnerabilità in prodotti Cisco
- 11/08 — Risolte vulnerabilità in Metabase
- 12/08 — Rilevato sfruttamento di vulnerabilità in prodotti Cisco
- 12/08 — Aggiornamenti Mensili Microsoft
- 18/08 — Rilevato sfruttamento di vulnerabilità in GeoServer
- 21/08 — Rilevato sfruttamento di vulnerabilità in Microsoft Entra ID
- 21/08 — WordPress: rilevato sfruttamento di vulnerabilità nel plugin Pods
- 26/08 — Rilevato sfruttamento di vulnerabilità in Gitea
- 31/08 — PaperCut: rilevato sfruttamento in rete delle CVE-2026-82078 e CVE-2026-81578
- 02/09 — SonicWall: rilevato sfruttamento in rete delle CVE-2026-83548 e CVE-2026-83549
- 04/09 — Google: rilevato sfruttamento di vulnerabilità zero-day in Chrome
- 06/09 — MikroTik: rilevato sfruttamento in rete di nuove vulnerabilità
- 08/09 — Adobe: rilevato sfruttamento in rete della CVE-2026-75650
- 09/09 — N-able: rilevato sfruttamento in rete della CVE-2026-86218 in N-central
- 09/09 — Aggiornamenti Mensili Microsoft
- 14/09 — JFrog: rilevato sfruttamento in rete delle vulnerabilità CVE-2026-42016 e CVE-2026-42018 in Artifactory
- 14/09 — Rilevato sfruttamento della CVE-2026-84869 relativa al prodotto ConnectWise ScreenConnect
- 16/09 — Acronis: rilevato sfruttamento in rete della CVE-2026-87886
- 17/09 — Joomla JCE: rilevato sfruttamento CVE-2026-48907 al fine di distribuire webshell utilizzate per defacement
- 17/09 — LiteLLM: rilevato sfruttamento in rete della CVE-2026-59822
- 17/09 — Risolte vulnerabilità in prodotti Cisco
- 18/09 — Redis: PoC pubblico e sfruttamento attivo in rete della CVE-2026-81934
- 22/09 — CheckPoint: rilevato sfruttamento in rete della CVE-2026-93616
- 22/09 — F5 BIG-IP: rilevato sfruttamento in rete della CVE-2026-94127
- 28/09 — IBM: rilevato sfruttamento in rete della CVE-2026-85542
- 29/09 — JFrog: rilevato sfruttamento in rete della CVE-2026-82329 relativa ad Artifactory
- 29/09 — Apple: rilevato sfruttamento in rete della CVE-2026-86950
- 30/09 — Cisco: rilevato sfruttamento in rete di una vulnerabilità in Catalyst SD-WAN Manager
- 30/09 — Dolibarr: rilevato sfruttamento in rete della CVE-2026-89013
3. Siti di phishing nelle liste dei CERT nazionali
Alcune squadre nazionali di sicurezza informatica pubblicano l’elenco dei siti di phishing che hanno individuato. CellulareSicuro li scarica ogni giorno e li usa nella ricerca della lista nera europea.
CERT Polska (Polonia, lista pubblica)
| Mese | Siti nuovi nella lista |
|---|---|
| Luglio | 29.379 |
| Agosto | 17.747 |
| Settembre | 17.817 |
| Trimestre | 64.943 |
Metodo
- Periodo: dal 1 luglio 2026 al 30 settembre 2026.
- Catalogo CISA: il catalogo ufficiale completo, versione 2026.10.02 (1.733 vulnerabilità in tutto). Si contano le voci con data d’ingresso nel periodo (campo
dateAdded). Chiunque può rifare il conteggio scaricando il catalogo. - CSIRT Italia: tutti gli avvisi pubblicati nel periodo, con la data di pubblicazione della fonte (ora italiana), ognuno contato una volta. «Falla già sfruttata»: il titolo o il testo dell’avviso dicono che l’attacco è già in corso («rilevato sfruttamento», «sfruttamento attivo», «0-day»); la frase «qualora sfruttata» non basta. «PoC»: il titolo annuncia un codice dimostrativo pubblico. I produttori si riconoscono dal titolo. Nel nostro archivio 1 giorno feriale è senza avvisi: 06/07.
- Incrocio fra CISA e CSIRT Italia: i codici CVE delle vulnerabilità del catalogo cercati nel testo degli avvisi del CSIRT Italia del trimestre. È un valore minimo: molti avvisi non riportano il codice nel testo che pubblicano.
- CERT Polska: i siti comparsi per la prima volta nella lista durante il periodo, secondo il nostro scaricamento giornaliero (attivo dal 28/06/2026).
- Fonti che entrano dal prossimo trimestre: CERT-EU, SI-CERT. La nostra raccolta è cominciata dopo l’inizio del periodo, e un trimestre si conta solo per intero.
Come citare questo rapporto
Osservatorio CellulareSicuro, «Rapporto tecnico, terzo trimestre 2026», cellularesicuro.it/osservatorio/rapporto-tecnico-2026-t3/, ottobre 2026.
I numeri e le frasi di questa pagina sono calcolati da un programma direttamente dai dati delle fonti ufficiali: ogni numero si può rifare con il metodo qui sopra. Ogni settimana, gli avvisi uno per uno nel bollettino tecnico.
