La settimana è dominata dallo sfruttamento attivo: Zimbra ZCS risulta compromesso in Italia tramite falla non corretta, mentre il catalogo CISA segnala sfruttamento in corso su Apache Struts, Strapi, ONLYOFFICE Docs, ISC BIND e ProFTPD, software spesso usati da enti e piccole aziende per posta, file sharing e siti web. Da seguire anche le falle critiche su Atlassian (accesso non autenticato a file), Citrix NetScaler e HPE Networking, oltre al PoC pubblico su Langflow. Si raccomanda di aggiornare con priorità i sistemi esposti su internet e di verificare eventuali segni di compromissione.
In breve
Da guardare per primi:
- Zimbra ZCS: in Italia sistemi non aggiornati compromessi con esecuzione di codice remoto e webshell. Aggiornare subito. — CSIRT Italia, 05/10: avviso originale
- Apache Struts: falla già sfruttata attivamente consente esecuzione di codice tramite invocazione dinamica di metodi. Aggiornare subito. — CISA, 08/10: avviso originale
- Langflow: disponibile codice pubblico per sfruttare 4 falle, due critiche, nella piattaforma AI open source. Aggiornare. — CSIRT Italia, 06/10: avviso originale
- Falle già sfruttate dagli attaccanti: 7 vulnerabilità con codice CVE, in 6 avvisi.
- Codice d’attacco già pubblico: 2 avvisi.
- Produttori che ricorrono di più: Google (4 avvisi), Atlassian (3 avvisi), HPE (3 avvisi), Apache (2 avvisi), Cisco (2 avvisi).
- In tutto 56 avvisi da 7 fonti ufficiali.
Già sfruttate dagli attaccanti: aggiornare subito (6)
- ProFTPD: falla già sfruttata attivamente permette lettura e scrittura di file arbitrari da remoto. Aggiornare subito. — CISA, 08/10: avviso originale
- ONLYOFFICE Docs: falla già sfruttata attivamente permette path traversal ed esecuzione di codice remoto. Aggiornare subito. — CISA, 08/10: avviso originale
- Strapi: falla già sfruttata attivamente espone dati utente sensibili, prodotto potenzialmente a fine vita. Aggiornare o sostituire. — CISA, 08/10: avviso originale
- Apache Struts: falla già sfruttata attivamente consente esecuzione di codice tramite invocazione dinamica di metodi. Aggiornare subito. — CISA, 08/10: avviso originale
- ISC BIND: falla già sfruttata attivamente consente denial of service tramite query TKEY. Aggiornare subito. — CISA, 08/10: avviso originale
- Zimbra ZCS: in Italia sistemi non aggiornati compromessi con esecuzione di codice remoto e webshell. Aggiornare subito. — CSIRT Italia, 05/10: avviso originale
Codice d’attacco già pubblico: aggiornare presto (2)
- Telegram Desktop: disponibile codice pubblico per una falla già corretta dal produttore. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Langflow: disponibile codice pubblico per sfruttare 4 falle, due critiche, nella piattaforma AI open source. Aggiornare. — CSIRT Italia, 06/10: avviso originale
Gli altri avvisi del CSIRT Italia (40)
- Tenable Identity Exposure: falla critica consente esecuzione di codice con privilegi massimi sul Domain Controller. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- Citrix NetScaler ADC e Gateway: falla critica con SAML abilitato permette esecuzione di codice o blocco del servizio. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- TP-Link Tapo C325WB v2: falle alte permettono di eludere l'autenticazione e compromettere il servizio. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- MongoDB Go Driver e libmongocrypt: falle alte possono compromettere la disponibilità del servizio. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- HPE Intelligent Management Center: falla critica permette di eludere l'autenticazione da remoto. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- Dell Secure Connect Gateway Policy Manager: 18 falle di gravità alta risolte. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- IBM Security Verify Access e Verify Identity Access: 22 falle, 5 critiche. Aggiornare. — CSIRT Italia, 09/10: avviso originale
- Progress Telerik Document Processing Libraries: falla alta compromette la disponibilità del servizio. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- Splunk Enterprise: più falle critiche permettono esecuzione di codice ed elusione della sicurezza. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- X server e Xwayland: falle permettono compromissione del servizio, accesso a dati ed esecuzione di codice. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- HashiCorp Vault: falle alte permettono elevazione di privilegi ed esecuzione di codice. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- Prodotti Brocade: risolte 61 vulnerabilità, 37 di gravità alta. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- Docker Engine e modulo Go di Moby: falla alta nella gestione DNS espone credenziali o sostituisce immagini. Aggiornare. — CSIRT Italia, 08/10: avviso originale
- llama.cpp: falla alta può compromettere la disponibilità ed eseguire codice arbitrario. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Craft CMS: 11 falle, 4 alte, permettono modifiche non autorizzate ed esecuzione di codice remoto. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Prodotti Cisco: risolte 35 vulnerabilità, 15 critiche. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Google Chrome: corrette 247 vulnerabilità, 12 critiche. Aggiornare il browser. — CSIRT Italia, 07/10: avviso originale
- JetBrains TeamCity: falla alta consente esecuzione di codice remoto. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Elastic Kibana ed Elasticsearch: risolte vulnerabilità di gravità alta. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- GitHub Enterprise Server: falla alta permette di inoltrare richieste verso host interni ed eseguire codice. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- ASUS router: falle critiche risolte con aggiornamento. Aggiornare i dispositivi interessati. — CSIRT Italia, 07/10: avviso originale
- Gitea: risolte 9 vulnerabilità, alcune di gravità alta. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Langflow: rilevate 24 nuove vulnerabilità, due critiche, nella piattaforma AI open source. Verificare l'avviso e aggiornare. — CSIRT Italia, 07/10: avviso originale
- HPE Networking AOS-Switch e ClearPass Policy Manager: 37 falle, 16 critiche. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- SonicWall SMA1000: falle critiche permettono di eludere la sicurezza ed eseguire codice. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Asustor ADM: falla critica consente di leggere file arbitrari sui sistemi NAS. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Veeam Backup & Replication: falle alte permettono esecuzione di codice remoto o lettura di file arbitrari. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Google Pixel: aggiornamenti di ottobre correggono 6 falle, 3 critiche, che espongono dati ed elevano privilegi. Aggiornare. — CSIRT Italia, 07/10: avviso originale
- Prodotti Atlassian: falla critica consente accesso non autenticato a file nella cartella root dell'applicazione. Aggiornare. — CSIRT Italia, 06/10: avviso originale
- Android: bollettino di ottobre corregge 25 vulnerabilità, alcune critiche. Aggiornare i dispositivi. — CSIRT Italia, 06/10: avviso originale
- HPE iLO 7: falla critica permette di eludere l'autenticazione e accedere come amministratore. Aggiornare. — CSIRT Italia, 06/10: avviso originale
- Chipset Qualcomm: rilevate vulnerabilità di gravità alta nei dispositivi che li usano. Verificare l'avviso e aggiornare. — CSIRT Italia, 06/10: avviso originale
- Apache Struts: risolte vulnerabilità di gravità alta nel framework web Java. Aggiornare. — CSIRT Italia, 06/10: avviso originale
- Dell System Update: falla critica e altre alte risolte. Aggiornare. — CSIRT Italia, 06/10: avviso originale
- Progress Sitefinity e Telerik Fiddler: falle permettono elevazione di privilegi o elusione della sicurezza. Aggiornare. — CSIRT Italia, 05/10: avviso originale
- cPanel/WHM: 3 falle critiche permettono esecuzione di codice con privilegi amministrativi. Aggiornare. — CSIRT Italia, 05/10: avviso originale
- GitLab AI Gateway: falla critica consente esecuzione di codice arbitrario a utenti autenticati malevoli. Aggiornare. — CSIRT Italia, 05/10: avviso originale
- Google Chrome: corrette 11 vulnerabilità che permettono elusione della sicurezza ed esecuzione di codice. Aggiornare. — CSIRT Italia, 05/10: avviso originale
- LibreOffice Calc: falla alta permette esecuzione di codice arbitrario. Aggiornare. — CSIRT Italia, 05/10: avviso originale
- Chipset MediaTek: risolte 31 vulnerabilità, due critiche, nei dispositivi che li usano. Aggiornare. — CSIRT Italia, 05/10: avviso originale
Dagli altri CERT europei (7)
- Notiziario settimanale del CERT rumeno su cybersecurity, tra cui Samsung Galaxy S26 compromesso a Pwn2Own Ireland 2026. Verificare l'avviso e aggiornare. — CERT rumeno, 08/10: avviso originale
- Modulo PrestaShop: falla critica consente esecuzione di codice PHP arbitrario senza autenticazione. Aggiornare. — CERT lettone, 08/10: avviso originale
- Prodotti Cisco: pubblicati aggiornamenti di sicurezza per molteplici vulnerabilità. Verificare l'avviso e aggiornare. — CERT lettone, 08/10: avviso originale
- WordPress: più falle permettono cross-site scripting, elusione della sicurezza ed esposizione di dati. Aggiornare. — BSI tedesco, 07/10: avviso originale
- VMware: due falle, una critica, permettono esecuzione di codice sull'host che gestisce le macchine virtuali. Aggiornare. — CERT lettone, 07/10: avviso originale
- Atlassian: falla critica per accesso a file arbitrari, raccomandato aggiornare subito le istanze esposte su internet e controllare i log. — CERT-EU, 07/10: avviso originale
- Atlassian: falla critica consente accesso non autenticato a file su Bitbucket, Confluence, Jira e altri prodotti. Aggiornare. — CERT lettone, 06/10: avviso originale
Banche e finanza (Autorità Bancaria Europea) (1)
- Comunicato EBA sul dashboard CRR3/CRD6: le banche europee mantengono livelli di capitale ben sopra i requisiti minimi. — EBA, 09/10: avviso originale
← Settimana dal 28 settembre al 4 ottobre 2026
Le righe e la sintesi sono scritte da un modello di intelligenza artificiale (Claude) usando solo il titolo e il testo di ogni avviso; i conteggi, l’ordine e le sezioni li decide un programma, i collegamenti portano sempre alla fonte. Prima di intervenire su un sistema, leggete l’avviso originale. Le schede sulle truffe per tutti sono nella pagina principale.
