Il 8 ottobre 2026 CISA ha aggiunto cinque vulnerabilità al proprio catalogo delle Known Exploited Vulnerabilities (KEV), con scadenza federale per la correzione fissata all'11 ottobre 2026, cioè oggi. La scadenza vale per le agenzie del Ramo esecutivo civile federale degli Stati Uniti. Tutti gli altri possono considerarla un segnale di priorità, non un obbligo.
SecurityAffairs riporta che l'aggiornamento coincide con un avviso congiunto di Australia, Canada, Giappone, Nuova Zelanda, Spagna, Regno Unito e Stati Uniti. L'articolo collega le voci a una campagna riconducibile alla Cina, attribuita ad attori legati a Integrity Technology Group, un'azienda cinese di cybersecurity. Una copertura correlata sull'aggiunta al KEV è disponibile qui.
Le cinque voci e le versioni interessate
I dettagli sulle versioni qui sotto provengono dai record NVD.
| CVE | Prodotto e ambito | CVSS v3 (NVD) | Debolezza |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD 1.3.5, modulo mod_copy |
10,0 | CWE-284 |
| CVE-2021-3199 | ONLYOFFICE Document Server prima della 5.6.3, quando si usa JWT | 9,8 | CWE-22 |
| CVE-2016-3081 | Apache Struts, con Dynamic Method Invocation abilitato | 8,1 | CWE-77 |
| CVE-2015-5477 | ISC BIND | 7,5 | CWE-19, CWE-617 |
| CVE-2023-22894 | Strapi | 4,9 | CWE-312 |
ProFTPD. Attaccanti remoti possono leggere e scrivere file arbitrari tramite i comandi site cpfr e site cpto. Il vettore CVSS è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, quindi non serve autenticazione né interazione dell'utente.
ONLYOFFICE Document Server. Una sequenza /.. in un parametro di caricamento immagini dell'endpoint /upload consente directory traversal ed esecuzione remota di codice quando si usa JWT. L'unico riferimento lato fornitore nel record CVE è una voce del changelog di ONLYOFFICE. Il record elenca anche due repository di terze parti che ospitano script di proof-of-concept.
Apache Struts. La descrizione NVD indica tre intervalli: da 2.3.19 a 2.3.20.2, da 2.3.21 a 2.3.24.1 e da 2.3.25 a 2.3.28. Tutti richiedono che Dynamic Method Invocation sia abilitato. Lo sfruttamento usa il prefisso method: con espressioni concatenate per arrivare all'esecuzione di codice. La complessità dell'attacco è valutata alta (AC:H).
ISC BIND. Una query TKEY costruita ad hoc fa scattare un'asserzione REQUIRE che fa terminare il demone, con un denial of service. La descrizione NVD copre le versioni 9.x precedenti alla 9.9.7-P2 e 9.10.x precedenti alla 9.10.2-P3. I dati di configurazione NVD elencano invece versioni fino alla 9.9.7 compresa, e i due ambiti non coincidono.
Strapi. Un utente autenticato del pannello di amministrazione può filtrare gli utenti per colonne sensibili e dedurre valori dalle risposte API. Con accesso da super amministratore, secondo NVD si possono scoprire gli hash delle password e i token di reset di tutti gli utenti. La descrizione dice «through 4.5.5», mentre i dati CPE usano < 4.8.0. SecurityAffairs riporta un punteggio CVSS di 7,2, ma il record NVD indica 4,9 e richiede privilegi elevati (PR:H).
Gli intervalli sopra sono quelli delle versioni interessate, non le release correttive. Per la build corretta occorre consultare l'avviso del fornitore.
La gravità non equivale allo sfruttamento
La voce Strapi lo mostra bene. Il suo punteggio NVD è il più basso dei cinque, eppure compare nel KEV accanto a un 10,0. L'inclusione nel KEV riflette prove di sfruttamento, mentre il CVSS riflette solo la gravità tecnica. Inoltre, la maggior parte di queste falle ha ormai diversi anni alle spalle.
Cosa dice l'articolo sulla campagna
Secondo SecurityAffairs, la campagna ha sfruttato otto vulnerabilità, incluse queste cinque, per ottenere accesso iniziale e sottrarre informazioni sensibili. L'articolo non nomina le altre tre.
Il Dipartimento di Giustizia degli Stati Uniti e l'FBI avrebbero sequestrato due strumenti che, secondo l'articolo, sarebbero stati gestiti dall'azienda cinese:
- Microscan, che secondo quanto riportato serviva a scansionare le reti alla ricerca di sistemi vulnerabili.
- FishHub, che secondo quanto riportato serviva a inviare email di spear-phishing che consegnano malware, forniscono accesso remoto e sottraggono file.
Lo stesso rapporto afferma che gli operatori hanno usato strumenti di scansione, cross-site scripting e password spraying contro server Microsoft Exchange. Avrebbero inoltre usato software VPN per mantenere l'accesso e script per estrarre email e credenziali. Secondo l'articolo, l'avviso congiunto mette in guardia contro strumenti che abbinano scansioni su larga scala a sfruttamento manuale.
Cosa devono fare i difensori
Il testo di azione di CISA nei record NVD chiede agli operatori di applicare le mitigazioni secondo le istruzioni di ciascun fornitore. Rimanda inoltre alla BOD 26-04 e ai suoi «Forensics Triage Requirements». Per i servizi cloud indica di seguire le indicazioni applicabili della BOD 26-04 oppure di interrompere l'uso del prodotto se le mitigazioni non sono disponibili. SecurityAffairs cita invece la BOD 22-01 per la scadenza federale.
Primi passi pratici:
- Inventariare le istanze esposte di ProFTPD 1.3.5, ONLYOFFICE Document Server, Struts, BIND e Strapi.
- Su Struts, verificare se Dynamic Method Invocation è abilitato.
- Su ONLYOFFICE, verificare se si usa JWT.
- Esaminare i log alla ricerca delle attività descritte sopra.
SecurityAffairs invita anche le organizzazioni private a esaminare il catalogo e a correggere le falle elencate nella propria infrastruttura.
Una serie, non un evento singolo
Negli ultimi 90 giorni il KEV ha accolto altre voci relative a fornitori che si sovrappongono a quelli citati: CVE-2015-5287 (26 agosto 2026), CVE-2026-21962 (24 agosto 2026), CVE-2026-34486 (4 agosto 2026) e CVE-2026-46817 (15 luglio 2026), riconducibili a Oracle, Apache e Huawei.
