Bollettino tecnico: settimana dal 21 al 27 settembre 2026

← Tutti i bollettini tecnici

La settimana è dominata dallo sfruttamento attivo delle falle critiche su Citrix NetScaler ADC/Gateway, già nel mirino di attacchi non autenticati, insieme a F5 BIG-IP APM e Check Point, entrambi colpiti da exploit confermati. Da monitorare anche MikroTik RouterOS, Microsoft SharePoint, WordPress Core e Adobe Commerce/Magento tra le vulnerabilità già sfruttate, mentre su Wazuh, WordPress, Notepad++ e D-Link circolano codici d'attacco pubblici da non sottovalutare; numerosi anche gli avvisi su ManageEngine, MongoDB, Apache Tomcat e GitLab da sanare al più presto.

Già sfruttate dagli attaccanti: aggiornare subito (17)

• Citrix NetScaler: due falle 0-day già sfruttate, senza patch disponibile. Scollegare i dispositivi da internet e seguire gli avvisi del produttore. — CERT Polska, 27/09: avviso originale
• Citrix NetScaler ADC/Gateway: due falle critiche già sfruttate per eseguire codice da remoto. Aggiornare subito e verificare eventuali compromissioni. — CERT-EU, 27/09: avviso originale
• Citrix NetScaler: falla già sfruttata che consente a un attaccante non autenticato di eseguire comandi. Applicare le mitigazioni del produttore. — CISA, 27/09: avviso originale
• Citrix NetScaler: falla già sfruttata che permette esecuzione di codice o blocco del servizio. Applicare le mitigazioni del produttore. — CISA, 27/09: avviso originale
• WordPress Core: falla già sfruttata che consente inclusione di file remoti e esecuzione di codice. Aggiornare. — CISA, 25/09: avviso originale
• Microsoft SharePoint: falla già sfruttata che consente esecuzione di codice da remoto. Applicare le mitigazioni del produttore. — CISA, 25/09: avviso originale
• MikroTik RouterOS: falla già sfruttata che consente accesso non autenticato, concatenabile con un'altra vulnerabilità. Aggiornare. — CISA, 25/09: avviso originale
• Adobe Commerce e Magento: falla già sfruttata che consente accesso non autorizzato a risorse sensibili. Aggiornare. — CISA, 24/09: avviso originale
• WSO2 (API Control Plane, API Manager, Traffic Manager, Universal Gateway): falla già sfruttata che consente caricamento file ed esecuzione di codice. Aggiornare. — CISA, 24/09: avviso originale
• Check Point (Security Gateway, Spark Firewall su VPN): falla già sfruttata che consente esecuzione di codice da remoto non autenticato. Aggiornare. — CISA, 22/09: avviso originale
• Check Point (Security Management Server e altri): falla già sfruttata che consente caricamento ed esecuzione di script non autenticati. Aggiornare. — CISA, 22/09: avviso originale
• F5 BIG-IP APM: falla già sfruttata che consente esecuzione di codice da remoto non autenticato. Aggiornare. — CISA, 22/09: avviso originale
• Arista VeloCloud Orchestrator: falla già sfruttata che può compromettere riservatezza, integrità e disponibilità dell'orchestratore. Aggiornare. — CISA, 22/09: avviso originale
• F5 BIG-IP APM: rilevato sfruttamento in rete di una falla che consente esecuzione di codice da remoto. Aggiornare con urgenza. — CSIRT Italia, 22/09: avviso originale
• F5 BIG-IP APM: falla critica già sfruttata attivamente. Applicare le azioni raccomandate dal produttore al più presto. — CERT-EU, 22/09: avviso originale
• Check Point Management Server: falla già sfruttata in rete che consente esecuzione di codice arbitrario. Aggiornare con urgenza. — CSIRT Italia, 22/09: avviso originale
• Zyxel GS1900: falla già sfruttata che consente esecuzione di comandi da rete locale non autenticata. Aggiornare. — CISA, 21/09: avviso originale

Codice d’attacco già pubblico: aggiornare presto (5)

• Wazuh: pubblicato codice d'attacco per una falla già corretta dal produttore. Aggiornare alla versione corretta. — CSIRT Italia, 25/09: avviso originale
• WordPress Core: pubblicati codici d'attacco per tre falle già corrette dal produttore. Aggiornare alla versione corretta. — CSIRT Italia, 23/09: avviso originale
• D-Link DAP-1360 (non più supportato): pubblicato codice d'attacco per esecuzione di codice da remoto non autenticato. Sostituire il dispositivo. — CSIRT Italia, 23/09: avviso originale
• Notepad++: pubblicati codici d'attacco per sei falle che permettono esecuzione di codice ed elusione di controlli di integrità. Aggiornare. — CSIRT Italia, 23/09: avviso originale
• Rsyslog: pubblicati codici d'attacco per due falle già corrette che permettono esecuzione di codice e blocco del servizio. Aggiornare. — CSIRT Italia, 21/09: avviso originale

Gli altri avvisi del CSIRT Italia (22)

• Citrix NetScaler ADC e Gateway: corrette 8 falle, tra cui due già sfruttate su sistemi non aggiornati. Aggiornare subito. — CSIRT Italia, 27/09: avviso originale
• MongoDB (PyMongo, C Driver, Compass, Laravel MongoDB): corrette falle che permettono esecuzione di codice e accesso a dati. Aggiornare. — CSIRT Italia, 25/09: avviso originale
• ServiceNow AI Platform: corrette vulnerabilità critiche e alte. Applicare gli aggiornamenti del produttore. — CSIRT Italia, 25/09: avviso originale
• Dell BOSS, RCC, Trusted Device Client e ThinOS 10: corrette falle che permettono elusione autenticazione ed elevazione privilegi. Aggiornare. — CSIRT Italia, 25/09: avviso originale
• Kibana: corretta una falla che consente di elevare i privilegi. Applicare l'aggiornamento di sicurezza. — CSIRT Italia, 25/09: avviso originale
• WatchGuard AuthPoint Authentication Gateway: falla che permette di eludere l'autenticazione. Verificare l'avviso e aggiornare. — CSIRT Italia, 24/09: avviso originale
• ManageEngine (Applications Manager, OpManager, Firewall Analyzer e altri): corrette 14 falle critiche e alte. Aggiornare i prodotti interessati. — CSIRT Italia, 24/09: avviso originale
• GitLab CE/EE: corrette falle critiche che permettono accesso a informazioni riservate o esecuzione di codice. Aggiornare. — CSIRT Italia, 24/09: avviso originale
• Apache Tomcat e Tomcat Native: corrette 15 falle, incluse 4 critiche, che compromettono sicurezza e disponibilità. Aggiornare. — CSIRT Italia, 24/09: avviso originale
• PaperCut NG/MF: rilevate falle che, in condizioni particolari, permettono esecuzione di codice da remoto. Verificare l'avviso e aggiornare. — CSIRT Italia, 24/09: avviso originale
• SolarWinds Observability Self-Hosted: corrette falle critiche che permettono esecuzione di codice da remoto non autenticato. Aggiornare. — CSIRT Italia, 23/09: avviso originale
• ManageEngine ADSelfService Plus: corrette falle che permettono esecuzione di codice o elusione dell'autenticazione delle API. Aggiornare. — CSIRT Italia, 23/09: avviso originale
• Erlang/OTP: corrette falle che permettono elusione dell'autenticazione, accesso a dati e perdita di disponibilità. Aggiornare. — CSIRT Italia, 23/09: avviso originale
• Adobe (InDesign, Bridge, Connect, Experience Manager Forms e altri): corrette numerose falle critiche e alte. Aggiornare i prodotti interessati. — CSIRT Italia, 23/09: avviso originale
• GitHub Enterprise Server: corrette falle che permettono esecuzione di codice, elusione di sicurezza e accesso a dati. Aggiornare. — CSIRT Italia, 23/09: avviso originale
• Google Chrome: corrette 108 vulnerabilità, comprese falle critiche e alte. Aggiornare il browser. — CSIRT Italia, 23/09: avviso originale
• Moodle: due falle che permettono accesso a informazioni sensibili ed elusione di funzioni di sicurezza. Verificare l'avviso e aggiornare. — CSIRT Italia, 23/09: avviso originale
• MISP: corrette falle che permettono elevazione di privilegi, esecuzione di codice e accesso a dati sensibili. Aggiornare. — CSIRT Italia, 22/09: avviso originale
• MongoDB C Driver e Mongoid: corrette falle critiche che permettono elusione di sicurezza, accesso a dati e perdita di disponibilità. Aggiornare. — CSIRT Italia, 21/09: avviso originale
• Exim: due falle che possono causare accesso a dati, modifica di codice e interruzione del servizio. Verificare l'avviso e aggiornare. — CSIRT Italia, 21/09: avviso originale
• Synology DiskStation Manager: corrette falle critiche che permettono lettura/scrittura di file arbitrari e blocco del sistema. Aggiornare. — CSIRT Italia, 21/09: avviso originale
• ManageEngine DataSecurity Plus: corrette falle che permettono di eludere l'autenticazione e compromettere l'integrità dei dati. Aggiornare. — CSIRT Italia, 21/09: avviso originale

Banche e finanza (Autorità Bancaria Europea) (4)

• EBA avvia una consultazione pubblica sulla revisione degli standard tecnici per requisiti patrimoniali e di liquidità delle banche. — EBA, 25/09: avviso originale
• EBA pubblica il Risk Dashboard del secondo trimestre 2026 sui rischi del settore bancario UE/SEE. — EBA, 25/09: avviso originale
• EBA pubblica le priorità per la revisione del regolamento MiCA sui cripto-attivi. — EBA, 24/09: avviso originale
• Le autorità di vigilanza europee segnalano rischi legati a dipendenze esterne, minacce cyber e credito privato per il sistema finanziario. — EBA, 23/09: avviso originale

Settimana dal 28 settembre al 4 ottobre 2026 →

Le righe e la sintesi sono scritte da un modello di intelligenza artificiale (Claude) usando solo il titolo e il testo di ogni avviso; i conteggi, l’ordine e le sezioni li decide un programma, i collegamenti portano sempre alla fonte. Prima di intervenire su un sistema, leggete l’avviso originale. Le schede sulle truffe per tutti sono nella pagina principale.