Cybersecurity, le minacce del 20 agosto: da Gogs a macOS, driver firmati e campagne mirate

Gogs espone i server Git all’esecuzione remota

La vulnerabilità più grave riguarda Gogs, piattaforma open source self-hosted per la gestione di repository Git. La falla è identificata come CVE-2026-52813 e interessa le versioni precedenti alla 0.14.3.

Il problema nasce dalla gestione dei nomi delle organizzazioni. Inserendo sequenze di traversal come ../, un attaccante può far scrivere i repository in percorsi arbitrari del filesystem, oltre la directory prevista dall’applicazione.

La manipolazione può essere sfruttata per costruire una struttura annidata di repository Git e sovrascrivere gli hook di un altro repository. Gli hook vengono eseguiti in determinate operazioni Git: modificarli consente quindi di arrivare all’esecuzione remota di codice sul server.

La vulnerabilità ha un punteggio CVSS 10 e il vettore indica sfruttabilità via rete, senza autenticazione né interazione dell’utente:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Il difetto è classificato come CWE-23, Relative Path Traversal. La correzione è disponibile nella versione Gogs 0.14.3.

Gli amministratori dovrebbero aggiornare immediatamente le istanze e controllare repository, hook e percorsi creati prima dell’aggiornamento. Non è noto se questa CVE sia presente nel catalogo KEV della CISA; non è quindi possibile stabilire, sulla base delle informazioni disponibili, una scadenza operativa imposta dall’agenzia.

macOS corregge una falla nell’accesso ai dati

Apple ha corretto CVE-2026-43774, una vulnerabilità che può permettere a un’applicazione di accedere a dati sensibili dell’utente attraverso un errore nei controlli dei limiti di memoria.

NVD descrive il problema come una lettura oltre i limiti risolta con verifiche più robuste. La classificazione CISA-ADP associa invece il difetto a CWE-787, relativo a una scrittura oltre i limiti. La differenza non chiarisce da sola l’impatto reale, ma segnala una discordanza nella descrizione tecnica.

Le versioni interessate sono:

• macOS dalla 14.0 fino a prima della 14.8.8;
• macOS dalla 15.0 fino a prima della 15.7.8;
• macOS dalla 26.0 fino a prima della 26.6.

Le versioni correttive sono macOS Sonoma 14.8.8, macOS Sequoia 15.7.8 e macOS Tahoe 26.6. La scheda NVD indica la pubblicazione della CVE il 27 luglio 2026, con successive modifiche il 28 e 29 luglio 2026.

Il punteggio CVSS 4.0 non è disponibile. CISA-ADP riporta invece un CVSS 3.1 pari a 5.5, con vettore:

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Lo scenario richiede accesso locale e interazione dell’utente. L’impatto dichiarato riguarda soprattutto la riservatezza dei dati, senza effetti indicati su integrità o disponibilità.

Gli utenti Mac devono installare gli aggiornamenti Apple corrispondenti. Non è noto se CVE-2026-43774 sia stata inserita nel catalogo KEV. Negli ultimi 90 giorni, però, il catalogo ha incluso altre due vulnerabilità Apple: CVE-2026-65400, il 18 agosto 2026, e CVE-2026-11645, il 9 giugno 2026.

CircleCI corregge il bypass del server MCP

Un’altra vulnerabilità critica interessa il pacchetto npm @circleci/mcp-server-circleci, usato dal server MCP di CircleCI. L’advisory GHSA-xv5j-cwgj-22r4 è stato pubblicato il 10 agosto 2026.

Il difetto riguarda il server di trasporto remoto. Quando l’autenticazione basata sulla richiesta è disabilitata, il componente può accettare client non autenticati che non appartengono a un browser.

Il bypass sfrutta controlli insufficienti sugli header Host e Origin. Un’istanza esposta con autenticazione disattivata può quindi consentire l’accesso a client che non dovrebbero essere considerati affidabili.

Sono interessate le versioni dalla 0.16.1 alla 0.19.1, estremi inclusi. La versione corretta è la 0.19.2.

La mitigazione consiste nell’aggiornare il pacchetto e nel non lasciare disabilitata l’autenticazione sulle istanze accessibili dalla rete. Non è noto se la vulnerabilità sia stata sfruttata o inserita nel catalogo KEV della CISA.

Driver legittimi e applicazioni comuni diventano strumenti d’attacco

Il reverse engineering di Check Point ha evidenziato un abuso del driver Microsoft Defender per la rimozione all’avvio, BTR.sys, noto come Defender Boot-Time Removal driver.

Il file è firmato da Microsoft, ma può essere riutilizzato come strumento generalizzato per operazioni a livello kernel. Gli attaccanti possono sfruttarlo durante la fase compresa tra l’avvio del sistema e l’inizializzazione della modalità utente, eludendo i controlli di alcuni prodotti EDR.

Non si tratta del classico schema BYOVD basato su un driver vulnerabile introdotto dall’attaccante. In questo caso il problema è l’abuso operativo di un componente legittimo e firmato, la cui reputazione non è sufficiente per distinguerne l’uso autorizzato da quello malevolo.

Lo strumento BTR_CLI può imitare il comportamento del processo legittimo di remediation di Windows Defender. I team di sicurezza dovrebbero quindi correlare il caricamento anomalo di BTR.sys, l’attività kernel durante il boot, l’uso di BTR_CLI e la terminazione o modifica di componenti EDR.

Un’altra campagna distribuisce Grandoreiro attraverso Duplicate Files Finder (DFF), applicazione legittima utilizzata per il DLL sideloading. Le infezioni osservate colpiscono soprattutto Messico, Spagna, Perù e Argentina.

Il campione iniziale verifica la presenza di sandbox, macchine virtuali e processi inseriti in blacklist prima di contattare il server C2. Sono quindi indicatori utili l’esecuzione insolita di DFF, il caricamento di DLL non previste e la creazione di processi figli incompatibili con il normale funzionamento del programma.

ClickFix, driver vulnerabili e campagne accademiche

ErrTraffic, framework MaaS e sistema di distribuzione del traffico associato all’attore LenAI, alimenta campagne basate su siti WordPress compromessi e pagine ClickFix.

La catena può iniziare con JavaScript offuscato, proseguire con la risoluzione del dominio C2 tramite uno smart contract Polygon e terminare con il download di un payload. In una delle sequenze osservate, Remus Stealer viene eseguito tramite process hollowing.

Un’altra operazione distribuisce Cruciferra sfruttando il driver legittimo ma vulnerabile DCRCVDrv.sys. L’obiettivo è ottenere privilegi elevati e terminare processi di sicurezza. Le difese devono includere il blocco dei driver vulnerabili, il controllo dell’integrità dei siti WordPress e il rilevamento di script offuscati e process hollowing.

Sul fronte dello spionaggio, il Dipartimento di Giustizia statunitense ha incriminato 17 membri del Mabna Institute, società iraniana accusata di operare per conto dell’IRGC.

La campagna sarebbe iniziata approssimativamente nel 2013 e proseguita almeno fino a dicembre 2017. Avrebbe colpito 144 università statunitensi, 178 università estere, almeno 42 aziende private statunitensi, 11 aziende private estere, cinque agenzie governative statunitensi e due ONG.

Secondo l’accusa, sarebbero stati sottratti oltre 31 TB di dati e presi di mira più di 100.000 account accademici, con circa 8.000 account compromessi. Le credenziali e i contenuti sarebbero stati rivenduti tramite Megapaper.ir e Gigapaper.ir.

Il Dipartimento di Stato offre una ricompensa di 10 milioni di dollari per informazioni su cinque imputati o su persone ed entità collegate. Università e centri di ricerca restano obiettivi attraenti per il valore della proprietà intellettuale e per controlli identitari talvolta meno rigidi rispetto agli ambienti aziendali.

Sistemi industriali e backdoor richiedono controlli specifici

Claroty Team82 ha individuato 23 vulnerabilità nei controller Copeland XWEB Pro. Alcune possono essere concatenate per aggirare i meccanismi di sicurezza e ottenere esecuzione remota con privilegi root.

Un controller compromesso può consentire di modificare ventilatori e compressori, alterare il funzionamento degli impianti e nascondere l’aumento della temperatura. In ambienti alimentari, l’effetto può essere il deterioramento silenzioso dei prodotti.

Sono state inoltre corrette vulnerabilità nei controller Danfoss AK-SM 800A, tra cui un meccanismo nascosto “code-of-the-day”, una command injection con esecuzione remota e una falla che permetteva a utenti autenticati di inserire direttive Nginx arbitrarie.

Gli aggiornamenti disponibili vanno applicati senza esporre i controller a reti non necessarie.

Infine, Gen Digital ha rilevato una backdoor Windows di circa 12 KB che imitava software Realtek e usava la persistenza WMI. Il dominio C2 non era presente in chiaro: veniva codificato nel numero di spazi finali delle righe di un falso file desktop.ini.

Gli indicatori da cercare includono file desktop.ini anomali, quantità insolite di spazi finali, persistenza WMI e binari presentati come componenti Realtek ma associati a comunicazioni C2. Non è stata stabilita una connessione con un attore noto, e l’operazione potrebbe essere stata mirata.